In questo articolo Indice dei contenuti 2 sezioni
Con il bollettino di sicurezza Android di settembre 2026 Google ha messo mano a circa duecento vulnerabilità, e non si tratta di ordinaria amministrazione, perché tra le falle chiuse ce ne sono alcune che permettono a un attaccante di eseguire codice da remoto senza che il proprietario dello smartphone faccia assolutamente nulla. Niente link da toccare, niente file da aprire, niente permessi da concedere. Il documento è stato pubblicato l’8 settembre e divide gli interventi in due livelli di patch distinti, il 2026-09-01 e il 2026-09-05, dove il secondo ingloba anche il primo e aggiunge le correzioni relative al kernel e ai suoi componenti.
La parte più delicata riguarda il componente System, dove figurano otto vulnerabilità di tipo RCE con gravità classificata come critica. Tra queste compaiono CVE-2026-28604, CVE-2026-28618 e CVE-2026-28639, tutte descritte come sfruttabili senza privilegi aggiuntivi e senza alcuna interazione dell’utente. Vale la pena precisare un dettaglio tecnico che spesso sfugge: la valutazione della gravità parte da uno scenario in cui le protezioni della piattaforma risultano disattivate per motivi di sviluppo oppure sono state aggirate da chi attacca.
Framework e kernel, dove si concentrano i rischi maggiori
Anche il Framework non se la passa benissimo. CVE-2026-28666 e CVE-2026-55273 sono state classificate come critiche e possono aprire la strada a un’escalation remota dei privilegi senza bisogno di autorizzazioni ulteriori. Nello stesso componente si trova poi CVE-2026-28609, una falla RCE con severità alta. Le correzioni coprono Android 14, 15 e 16, e a seconda del singolo problema si estendono anche alle versioni 16 QPR2 e 17.
Il livello 2026-09-05, quello più completo, porta con sé altre vulnerabilità critiche legate al kernel. Spicca CVE-2026-52993, catalogata come esecuzione di codice da remoto e collegata al componente Transparent Inter Process Communication. Ci sono poi problemi che toccano NFC e la Protected Kernel Based Virtual Machine, con possibilità di escalation dei privilegi. Chiudono il quadro le patch per i componenti Arm Mali e per le GPU PowerVR di Imagination Technologies, ovvero la parte grafica presente su una fetta consistente di dispositivi in circolazione.
Perché la data nelle impostazioni fa la differenza
Capire quale dei due livelli è installato sul proprio telefono non è un esercizio da smanettoni, è la cosa più concreta che si possa fare. Google specifica che l’aggiornamento 2026-09-05 o una versione successiva risolve tutte le vulnerabilità elencate nel bollettino, mentre il livello 2026-09-01 si ferma al primo gruppo di correzioni. La data che compare nelle impostazioni dello smartphone racconta quindi con precisione quali fix sono davvero presenti sul dispositivo, senza margini di interpretazione.
C’è però un passaggio che sfugge al controllo di Google, ed è quello decisivo. I produttori devono integrare le modifiche nel firmware dei propri modelli e distribuirle seguendo i rispettivi cicli di supporto, che come noto variano parecchio da marchio a marchio. Una patch pubblicata non equivale a una patch installata, e nel frattempo la finestra di esposizione resta aperta.
Un aiuto arriva dagli aggiornamenti tramite Google Play, disponibili per Android 10 e versioni successive, che intervengono su alcuni componenti Mainline come ART, Media Framework, Wi Fi e MediaProvider. Al momento della pubblicazione del bollettino non risultavano segnalazioni di sfruttamento attivo delle falle descritte. La piattaforma dispone inoltre di mitigazioni che rendono più complicato portare a termine un attacco, e Google Play Protect continua a tenere d’occhio le applicazioni potenzialmente dannose.
Nessuna di queste misure, però, sostituisce una patch aggiornata. Per chi possiede un dispositivo compatibile la verifica del livello di sicurezza installato resta il controllo più utile, e se l’aggiornamento di settembre risulta disponibile conviene applicarlo subito, senza aspettare il ciclo di manutenzione successivo.
