Android, ottobre 2026: 25 vulnerabilità corrette e ritorno al…

Il bollettino Android di ottobre 2026 corregge 25 vulnerabilità con un unico livello di patch. La criticissima CVE nel componente System permette escalation di

Il bollettino Android Security Bulletin di ottobre 2026, pubblicato il primo del mese, corregge 25 vulnerabilità distribuite tra i componenti Framework e System. Sette sono classificate critiche, con una escalation di privilegi locale nel System che non richiede né privilegi aggiuntivi né interazione da parte dell'utente. Per la prima volta dopo mesi di struttura biforcata, Google adotta un unico livello di patch: il 2026-10-01.

Punti chiave

Il bollettino Android di ottobre 2026 corregge 25 vulnerabilità totali: 7 nel Framework e 18 nel System.
Sette vulnerabilità sono critiche: una in Framework e sei in System, con la più grave che permette escalation di privilegi locale senza interazione utente.
Il patch level torna unico (2026-10-01), abbandonando il modello diviso in due livelli usato nei mesi precedenti.
Tre vulnerabilità sono correggibili anche tramite Google Play System Updates (Project Mainline) per dispositivi Android 10 e successivi.

La criticissima nel System: EoP senza utente né privilegi

Il cuore del bollettino è una vulnerabilità nel componente System che Google descrive come la più severa dell'intero mese. La falla consente escalation di privilegi a livello locale, con una combinazione di condizioni particolarmente pericolosa: l'attaccante non necessita di privilegi di esecuzione aggiuntivi e l'exploitation non richiede alcuna interazione da parte dell'utente.

"The most severe of these issues is a critical security vulnerability in the System component that could lead to local escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation" — Android Security Bulletin—October 2026

Oltre a questa criticissima, il componente System include altre cinque vulnerabilità critiche, per un totale di sei. Il resto delle 18 falle System si suddivide in otto escalation di privilegi, cinque denial of service, una remote code execution e quattro information disclosure. Il Framework, con sette vulnerabilità totali, contiene due DoS e cinque EoP, di cui una critica.

Per quantità e distribuzione, il System emerge come superficie d'attacco predominante: il 72% delle vulnerabilità totali e il 85,7% di quelle critiche si concentrano in questo componente. Il Framework, pur essendo meno popolato, ospita la criticità più elevata nella sua singola falla critica.

Il ritorno al patch level unico e la fine del modello biforcato

Dopo mesi in cui Google ha distribuito patch divise in due livelli (tipicamente 01 e 05 dello stesso mese), ottobre 2026 segna il ritorno a una struttura semplificata. Il bollettino ufficiale indica esplicitamente: "Security patch levels of 2026-10-01 or higher address all of these issues". PBXScience nota che "unlike many months, this bulletin contains just one security patch level".

Il cambiamento ha conseguenze operative concrete per la supply chain Android. Il modello biforcato, introdotto per gestire aggiornamenti con tempistiche diverse tra componenti core e vendor-specific, ha spesso generato confusione nella verifica della compliance: un dispositivo poteva risultare "patchato" per il primo livello ma esposto per il secondo. Il ritorno all'unitarietà semplifica la verifica per le aziende e riduce la frammentazione per gli utenti finali.

La scelta assume rilievo confrontandola con l'andamento irregolare dei mesi precedenti. Luglio e agosto 2026 erano stati segnalati come privi di vulnerabilità di sicurezza, settembre 2026 ne aveva corretto 180. Ottobre torna a 25, con struttura unificata. Questa oscillazione, documentata nelle pubblicazioni ufficiali, sollecita interrogativi sulla predicibilità del ciclo di disclosure Android.

Le tre CVE di Project Mainline e le versioni AOSP coperte

Tre vulnerabilità del bollettino sono correggibili anche attraverso Google Play System Updates, il meccanismo di aggiornamento modulare introdotto con Project Mainline per Android 10 e versioni successive. Secondo PBXScience, si tratta di CVE-2026-58859 nel componente Telephony, CVE-2026-45524 e CVE-2026-49878 nel componente WiFi.

I fix si applicano alle versioni AOSP 14, 15, 16, 16-QPR2 e 17. La copertura multigenerazionale è significativa: Android 14, rilasciato nell'autunno 2023, riceve ancora patch di sicurezza tre anni dopo, in linea con le politiche di supporto esteso di Google. Per i dispositivi compatibili con Project Mainline, le tre CVE Mainline possono essere mitigate senza attendere l'OTA completo del sistema.

Le tre CVE portano punteggi CVSS significativi: CVE-2026-58859 è HIGH 7.8, CVE-2026-45524 è HIGH 8.8 con scope changed (impatto esteso ad altri componenti), CVE-2026-49878 è HIGH 7.2 con vettore di rete. Quest'ultima, classificata come RCE nel System, è l'unica falla con attack vector network nel bollettino, sebbene richieda privilegi elevati (PR:H).

Cosa fare adesso

Google non segnala exploitation in the wild per nessuna delle 25 vulnerabilità. SecurityWeek riporta esplicitamente che "Google makes no mention of any of these vulnerabilities being exploited in the wild". Tuttavia, la criticità della EoP nel System e l'assenza di necessità di interazione utente elevano la priorità dell'aggiornamento.

Verificare che il dispositivo riporti il patch level 2026-10-01 o superiore nelle impostazioni di sicurezza, accedendo a Impostazioni > Sicurezza e privacy > Aggiornamenti di sicurezza (percorso variabile per manufacturer).
Per dispositivi Android 10 e successivi, confermare che Google Play System Updates siano attivi e aggiornati, data la disponibilità di tre fix via Project Mainline.
Sui dispositivi Pixel, attendere l'OTA specifico che include sei vulnerabilità aggiuntive (tre critiche in Bluetooth, GDMC e GSA) oltre alle 25 del bollettino generale.
Sulle flotte aziendali, usare il patch level unico come criterio di compliance semplificato: il livello 2026-10-01 indica copertura completa senza ambiguità del modello biforcato.

Il contesto: oscillazioni nel ciclo e responsabilità dei partner

Il bollettino ottobre 2026 si inserisce in un arco temporale segnato da discontinuità. L'assenza di vulnerabilità in luglio e agosto, seguita dalle 180 correzioni di settembre, aveva già sollevato interrogativi sulla regolarità del processo di disclosure. Il ritorno a 25 vulnerabilità con patch unico potrebbe indicare una riorganizzazione interna, oppure semplicemente la variazione naturale del flusso di scoperte.

Ciò che resta costante è la struttura di responsabilità: i partner Android sono stati notificati almeno un mese prima della pubblicazione, e il codice sorgente dei patch sarà disponibile su AOSP entro 48 ore. Questa finestra temporale è critica per i manufacturer che devono integrare i fix nei propri update (Samsung, ad esempio, ha già confermato l'applicazione delle CVE Android nel proprio Security Maintenance Release di ottobre 2026).

Per gli utenti di dispositivi con supporto terminato — come i Pixel 6 e 6 Pro, fuori garanzia software a ottobre 2026 dopo i cinque anni previsti — il bollettino non offre copertura. Il dossier non specifica mitigazioni alternative per questi dispositivi.

FAQ

Perché il patch level unico è rilevante rispetto al modello precedente?

Il modello biforcato (due livelli mensili) creava ambiguità nella verifica della protezione effettiva: un dispositivo poteva risultare patchato per il primo livello ma esposto a falle del secondo. Il livello unico 2026-10-01 elimina questa incertezza.

Qual è la differenza tra Google Play System Updates e aggiornamento sistema completo?

Project Mainline aggiorna componenti specifici (come Telephony e WiFi) tramite il Play Store senza richiedere un OTA completo del sistema operativo, riducendo la dipendenza dai tempi dei manufacturer.

Il bollettino indica se le vulnerabilità siano già state sfruttate?

No. Google non menziona exploitation in the wild per nessuna delle 25 vulnerabilità, come confermato da più fonti editoriali sulla base dell'advisory ufficiale.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter