L'aggiornamento Android di novembre corregge una falla che non richiede nemmeno un tocco

Google ha pubblicato il bollettino di sicurezza Android di novembre lunedì 2 novembre, e la prima voce è di quelle che contano: CVE-2026-58868, un heap overflow in una parte del Framework che decodifica i fotogrammi video. Google la classifica come critica perché potrebbe permettere a un aggressore di eseguire codice da remoto su un telefono, senza permessi aggiuntivi e senza alcuna azione da parte vostra. Riguarda Android 14, 15, 16 e 17. Google non ha spiegato come un aggressore potrebbe raggiungere il codice difettoso e, mercoledì, non c'erano notizie di attacchi che la sfruttassero.

È una delle 216 correzioni, 23 delle quali critiche, tra cui due nel Bluetooth e una serie nel codice dei chip MediaTek e Qualcomm. Il bollettino elenca ufficialmente anche CVE-2026-58882, il bug "SMS of Death" di cui abbiamo parlato lunedì. La sua correzione era già stata distribuita in sordina a ottobre, ora è messa nero su bianco.

Perché affrettarsi se nessuno la sta sfruttando? Perché quando una correzione diventa pubblica, gli aggressori risalgono da lì alla falla. Questa settimana la società di sicurezza Sekoia ha descritto una campagna che attribuisce ad APT29, il gruppo russo noto anche come Midnight Blizzard, che ha piazzato codice di exploit su siti compromessi e su siti che imitavano quelli veri. I telefoni che li visitavano venivano profilati e attaccati in automatico, senza bisogno di alcun tocco. Tutte le falle usate erano già state corrette. Le vittime erano iPhone fermi a iOS 16.7 o 18.5 e telefoni Android con Chrome dalla versione 139 alla 145, e gli aggressori puntavano ai dati di WhatsApp e Telegram, alle password salvate, alle foto e alla posizione.

Andate quindi in Impostazioni, poi Info sul telefono, e cercate la data dell'aggiornamento della sicurezza Android. Vi serve almeno 2026-11-01, mentre 2026-11-05 copre l'intero bollettino. Quando arriva lo decide il produttore del telefono: se non c'è ancora, ricontrollate la settimana prossima e intanto aggiornate Chrome dal Play Store. Sul PC, la ricerca aggiornamenti di Tendvane e gli aggiornamenti delle app tramite winget fanno lo stesso lavoro: vi mostrano le correzioni che esistono già ma non sono ancora state installate.