Google patcha RCE zero-click Android, ma il fix OEM rallenta: il divario che Mainline non colma

Il 2 novembre 2026 Google ha pubblicato l'Android Security Bulletin di novembre, con 216 vulnerabilità totali e 23 Critical. Tra queste, CVE-2026-58868 si distingue per profilo e per canale di distribuzione: è una RCE senza interazione utente nel Framework Android, ma a differenza di CVE-2026-58876 non arriva tramite Project Mainline. Il fix richiede l'aggiornamento firmware del produttore, creando una finestra di esposizione che varia tra Pixel, Samsung e dispositivi di terzo livello.

Il contrasto: due RCE Critical, due destini di patch

Il bulletin di novembre 2026 contiene almeno tre RCE Critical. Due di esse — CVE-2026-58868 e CVE-2026-58876 — illustrano una divisione architetturale che determina chi riceve il fix e quando.

CVE-2026-58876 riguarda il componente System (Media Codecs) ed è inclusa nei Google Play system updates. Questo significa che Android 10 e successivi possono ricevere la patch indipendentemente dal produttore, via Google Play Services. CVE-2026-58868, nel Framework, non è in quella lista. Come riporta The Hacker News: "CVE-2026-58868 is not on that list, so the date to check for it is the Android security update".

Questa distinzione non è casuale. Project Mainline, lanciato con Android 10, modularizza componenti di sistema per aggiornarli via Play. Ma il Framework rimane fuori da questo perimetro: la sua integrazione profonda con il sistema operativo richiede ancora una build firmware completa. Il risultato è che CVE-2026-58868 dipende dalla catena di approvazione OEM, mentre CVE-2026-58876 no.

"Google's Critical rating assumes that the protections built into Android and Google's services are turned off or bypassed" — The Hacker News

I fatti verificati: cosa sappiamo e cosa no

FATTI DOCUMENTATI. Il record CVE-2026-58868 (CNA: Android/Google) descrive: "In onOutputReceived of FrameDecoder.cpp, there is a possible out-of-bounds write due to a heap buffer overflow". La conseguenza: "This could lead to remote code execution with no additional execution privileges needed. User interaction is not needed for exploitation".

Le versioni con fix sono Android 14, 15, 16, 16-qpr2 e 17. Android 12 e 13 non sono elencati: le fonti non confermano né escludono che contengano la vulnerabilità. Il tracking reference è A-486464711. Il security patch level 2026-11-01 risolve 119 vulnerabilità del primo gruppo (Framework, System, Runtime); il livello 2026-11-05 aggiunge 97 CVE per kernel e vendor, totale 216.

LIMITI DELLE FONTI. Nessuna fonte primaria specifica come un attaccante raggiunga il codice vulnerabile in FrameDecoder.cpp. The Hacker News cita esplicitamente: "the bulletin does not say which delivery paths, such as messaging, browsing or file previews, reach the vulnerable code". Rescana aggiunge: "We will not guess". La natura "zero-click" indica solo che l'exploitation non richiede interazione utente, non quale vettore la renda possibile.

ANALISI. L'assenza di CVSS assegnato da NVD e l'indicazione SSVC "Automatable: yes" combinano un rischio non quantificato con un'elevata potenziale scalabilità. Questo profilo — impatto teorico massimo, exploit attuale assente — è tipico delle vulnerabilità che passano da "teoriche" a "sfruttate" con l'emergere di un PoC.

La valutazione del rischio: tra rating Google e advisory privati

Google classifica CVE-2026-58868 come Critical. Questo rating incorpora l'assunzione che le mitigazioni di piattaforma siano disattivate o bypassate. Nella pratica, sandboxing, ASLR e altre difese riducono la probabilità che il buffer overflow si traduca in attacco funzionante.

Rescana, vendor di advisory privati, adotta una valutazione diversa: "We do not rate it Critical, because nobody has reported exploitation and the platform mitigations still stand between a bug and a working attack". Questa è una valutazione di un vendor terzo, non una fonte primaria che contesta Google. I due rating misurano dimensioni diverse: Google la severità teorica della falla, Rescana il rischio operativo attuale.

Le entry SSVC di CISA per le tre RCE Critical indicano "Exploitation: none", "Automatable: yes", "Technical impact: total". La combinazione definisce una vulnerabilità non ancora sfruttata, ma tecnicamente in grado di automatizzarsi se emerge un exploit.

Cosa fare adesso

• Verificare il security patch level in Impostazioni > Sicurezza e privacy > Aggiornamenti di sicurezza: deve indicare 2026-11-01 o successivo per coprire CVE-2026-58868
• Preferire dispositivi con aggiornamenti garantiti dal produttore: Pixel riceve patch dirette da Google, altri brand dipendono dalla propria catena di rilascio
• Considerare che Android 12 e 13 non hanno fix documentati; per queste versioni non è noto se la vulnerabilità sia presente
• Monitorare il catalogo CISA KEV: nessuna delle 216 CVE è attualmente elencata, ma lo stato può cambiare

Perché è importante: il limite strutturale di Project Mainline

L'espansione di Project Mainline è uno dei più significativi investimenti architetturali di Google per la sicurezza Android. Ma CVE-2026-58868 dimostra il confine di quel perimetro: il Framework, cuore del sistema, resta fuori. La conseguenza è che una vulnerabilità di pari gravità — RCE zero-click — ha tempi di remediation diversi a seconda del componente colpito, non della sua pericolosità.

Per gli utenti, il security patch level è più informativo della versione Android. Un dispositivo con Android 17 e patch agosto 2026 è esposto rispetto a uno con Android 14 e patch novembre 2026. Questa distinzione è spesso oscurata dalle comunicazioni che enfatizzano le release principali.

Il divario OEM-Mainline non è nuovo, ma CVE-2026-58868 lo rende visibile su una vulnerabilità di massima criticità. Fino a quando il Framework non entrerà nel perimetro Project Mainline — se mai accadrà — le patch per questo livello di sistema rimarrono vincolate ai tempi dei produttori. Per le aziende con fleet mobili, questo significa che la stessa vulnerabilità richiede strategie di monitoraggio diverse a seconda del canale di distribuzione.

Fonti: The Hacker News, Rescana, Security Affairs, GBHackers, eSecurity Planet, CybersecurityNews, cve.org, NIST NVD, Google Support.

Fonti

• thehackernews.com
• rescana.com
• securityaffairs.com
• gbhackers.com
• esecurityplanet.com
• cybersecuritynews.com
• cve.org
• nvd.nist.gov
• nvd.nist.gov
• nvd.nist.gov
• support.google.com