Kaspersky ICS CERT ha pubblicato il 20 aprile 2026 i dettagli tecnici di CVE-2026-25262, una vulnerabilità nel BootROM di 7 serie di chip Qualcomm che consente a un attaccante con accesso fisico di scrivere dati arbitrari in indirizzi arbitrari della memoria prima del caricamento del sistema operativo. La falla, classificata CWE-123: Write-What-Where Condition, interrompe irreversibilmente la catena di secure boot dal livello più basso della gerarchia di fiducia hardware. Qualcomm è stata notificata a marzo 2025, ha confermato la vulnerabilità e riservato l'identificatore CVE, ma ha reso esplicito che correggere i dispositivi già prodotti è "fundamentally impossible".
- La vulnerabilità CVE-2026-25262 colpisce il BootROM di 7 serie di chip Qualcomm (MDM9x07, MDM9x45, MDM9x65, MSM8909, MSM8916, MSM8952, SDX50): memoria read-only "baked directly into the silicon" che non può essere modificata post-fabbricazione.
- Il vettore di attacco è il protocollo Sahara, componente dell'Emergency Download Mode (EDL) implementato direttamente nell'ARM PBL (Primary Boot Loader) del BootROM, progettato per riparare dispositivi "bricked" in service center e fabbriche.
- Con pochi minuti di accesso fisico via USB, l'attaccante ottiene controllo completo del dispositivo: password, file, contatti, geolocalizzazione, camera e microfono risultano accessibili, secondo la documentazione di Kaspersky.
- Il codice malevolo non persiste in memoria non-volatile secondo la ricerca condotta; tuttavia, il reboot non garantisce pulizia perché sistemi compromessi possono simularlo. Solo la completa perdita di potenza — batteria rimossa o deplezione totale — ripristina uno stato pulito.
Il BootROM come ultimo anello della catena di fiducia
Il BootROM rappresenta il "bedrock foundation" della gerarchia di sicurezza mobile: una memoria read-only integrata direttamente nel silicio che, per definizione, non è modificabile una volta uscita dalla fabbricazione. Come scrive Kaspersky nel suo blog tecnico, "the most trusted layer of them all" è appunto questa componente che precede qualsiasi sistema operativo, qualsiasi hypervisor, qualsiasi meccanismo di verifica software.
È proprio questo livello a essere compromesso da CVE-2026-25262. La vulnerabilità non è un errore di implementazione nel firmware aggiornabile, nel bootloader secondario o nel sistema operativo: è una Write-What-Where Condition nel Primary Boot Loader ARM che risiede nel BootROM stesso. L'attaccante che raggiunge il dispositivo fisicamente può sovrascrivere qualsiasi indirizzo di memoria prima che la catena di secure boot abbia inizio, con effetti che si propagano a ogni livello successivo della stack di sicurezza.
Il meccanismo è tecnicamente rilevante perché inverte l'assunto fondamentale su cui si basa il secure boot: che il primo codice eseguito sia immutabile e verificabile. Se il BootROM stesso ospita una condizione di scrittura arbitraria, ogni verifica successiva — firme digitali, hash, catene di certificati — diviene teoricamente aggirabile. Come nota il blog di Kaspersky: "If an attacker can compromise this chain at the BootROM level, it's game over: the malicious code will execute before the main operating system even has a chance to load."
Sahara: da protocollo di soccorso a canale di attacco
Il protocollo Sahara è il cuore del problema. Implementato nell'ARM PBL del BootROM, Sahara è il componente software che gestisce l'Emergency Download Mode (EDL), una modalità di recupero progettata per consentire a manufacturer e centri di assistenza di resuscitare dispositivi non avviabili. È uno strumento industriale standard, non una funzionalità esotica o nascosta: ogni service center autorizzato che lavora su hardware Qualcomm lo utilizza.
La logica di verifica dei chunk di file caricati via Sahara presenta la Write-What-Where Condition che classifica la falla come CWE-123. Il blog Kaspersky la descrive in termini inequivocabili: "This is about as bad as it gets when it comes to flaws in low-level programming. An attacker can write arbitrary data to an arbitrary address in the device memory." Il flusso di comunicazione HELLO/handshake/upload/execute, nato per salvare dispositivi "bricked", diventa così il veicolo di un compromissione totale.
Il profilo di rischio si sposta conseguentemente dal domain tradizionale della sicurezza informatica — reti, applicazioni, utenti — verso quello fisico: riparazioni non autorizzate, attraversamenti doganali, smarrimenti e furti. Ogni scenario in cui un dispositivo esce dal controllo diretto del legittimo proprietario per pochi minuti diviene potenzialmente esplosivo. Sergey Anufrienko, security expert di Kaspersky ICS CERT, ha evidenziato in una dichiarazione ripresa da BrandIconImage e Manila Standard che il reboot come risposta è insufficente: "compromised systems may simulate a reboot without actually resetting". Solo l'interruzione completa dell'alimentazione — rimozione fisica della batteria o deplezione totale — garantisce un restart pulito.
L'impossibilità della patch e il profilo industriale delle chip affette
7 serie di chip risultano esplicitamente coinvolte: MDM9x07, MDM9x45, MDM9x65, MSM8909, MSM8916, MSM8952, SDX50. Kaspersky specifica che interessata è "every single version released to date" di ciascuna serie, senza eccezioni per revisioni o varianti. La distribuzione di queste piattaforme attraversa settori critici: MDM9207 equipaggia modem IoT, dispositivi healthcare monitoring, tracker logistici, terminali bancari e smart home; MSM8916 alimenta smartphone di fascia budget; SDX50 è impiegato in automotive control units.
La risposta di Qualcomm, come documentata da Kaspersky, delinea una linea netta: "While fixing already-made devices is fundamentally impossible, the company promised to make all future chips without this vulnerability." Questa dichiarazione ha conseguenze operative immediate: non esiste percorso di aggiornamento firmware, non esiste patch distribuibile, non esiste mitigazione software che possa sanare il BootROM su silicio già fabbricato. La protezione diviene puramente procedurale, legata al controllo fisico del dispositivo lungo l'intero ciclo di vita.
Il CVE-2026-25262 è stato incluso nel security bulletin di Qualcomm di maggio 2026, confermando la presa in carico istituzionale. Il record CVE.org risulta al momento in stato "reserved", senza dettagli tecnici popolati: l'esistenza dell'identificatore è verificata, ma il punteggio CVSS non risulta esplicitato nelle fonti testuali disponibili.
"While fixing already-made devices is fundamentally impossible, the company promised to make all future chips without this vulnerability."
Cosa fare adesso
Per le organizzazioni che gestiscono dispositivi basati sulle 7 serie di chip Qualcomm interessate, la gestione del rischio si sposta su controlli fisici e procedurali. Non esistendo patch retroattive, le azioni concrete sono le seguenti.
Primo: inventariare i dispositivi attivi che montano chip MDM9x07, MDM9x45, MDM9x65, MSM8909, MSM8916, MSM8952 o SDX50. La mappatura deve includere dispositivi IoT industriale, healthcare monitoring, tracker logistici, terminali bancari, smart home, smartphone budget e unità automotive.
Secondo: implementare catene di custodia fisica che limitino l'accesso non autorizzato. Poiché pochi minuti di connessione USB via EDL sono sufficienti alla compromissione completa, ogni dispositivo deve restare sotto controllo diretto o supervisionato durante trasporti, riparazioni e attraversamenti doganali.
Terzo: in caso di sospetta compromissione, non affidarsi al reboot come prova di pulizia. Secondo la ricerca Kaspersky e la dichiarazione di Anufrienko, i sistemi compromessi possono simulare il reboot. L'unica azione che garantisce stato pulito è la completa perdita di potenza: rimozione fisica della batteria o deplezione totale.
Quarto: pianificare la sostituzione dei dispositivi con hardware basato su chip Qualcomm futuri, esplicitamente promessi privi della vulnerabilità. Nei settori con cicli di vita lunghi — IoT industriale, healthcare, automotive — questa transizione richiede budget e timeline dedicati.
La linea del secure boot si sposta dal digitale al fisico
La pubblicazione di Kaspersky ICS CERT trasforma il protocollo Sahara da strumento di manutenzione industriale a vettore di compromissione critico. Per le organizzazioni che gestiscono parchi di dispositivi basati su Qualcomm nelle serie indicate, il confine di sicurezza non passa più attraverso firewall o patch management: passa attraverso la catena di custodia fisica.
La dichiarazione di Qualcomm sulla impossibilità di fix retroattivi chiude qualsiasi discussione tecnica sulla mitigazione. Il dispositivo vulnerabile rimane vulnerabile per l'intera durata del suo ciclo di vita fisico. La questione che il settore dovrà affrontare è conseguentemente procedurale: chi ha accesso fisico, in quali condizioni, con quali controlli. Non è più una questione di sicurezza informatica nel senso tradizionale: è una questione di sicurezza fisica dell'hardware.
Fonti
- https://www.kaspersky.com/blog/qualcomm-cve-2026-25262/55811/
- https://www.brandiconimage.com/2026/04/kaspersky-flags-vulnerability-in.html
- https://manilastandard.net/tech/314732460/kaspersky-discovers-vulnerability-in-qualcomm-snapdragon-chips-that-can-lead-to-data-loss-device-compromise.html
- https://www.cve.org/CVERecord?id=CVE-2026-25262
- https://ics-cert.kaspersky.com/vulnerabilities/qualcomm-chipsets-series-write-what-where-condition-vulnerability-in-bootrom/
- https://blackhat.com/asia-26/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.itvoice.in/tcs-and-australian-securities-exchange-asx-go-live-with-chess-release-1-for-cash-clearing-settlement
- https://manilastandard.net/spotlight/314732463/as-loan-growth-accelerates-data-becomes-critical-to-sustainable-lending.html
- https://en.wikipedia.org/wiki/Semiconductor_device_fabrication