Un messaggio mai aperto. Un'immagine mai visualizzata. Una chiamata persa. Questi elementi banali possono attivare l'esecuzione di codice malevolo in background e installare spyware in grado di leggere messaggi, tracciare la posizione, attivare microfono e fotocamera. Bitdefender ha pubblicato un'analisi che ricompone i meccanismi di questi attacchi zero-click: l'infezione avviene senza che la vittima tocchi il telefono, apra un messaggio o clicchi un link.
- Gli attacchi zero-click sfruttano dati appositamente confezionati per eseguire codice in background senza alcuna interazione della vittima.
- CVE-2025-48595, vulnerabilità Android Framework con escalation di privilegi remota senza interazione utente, è attivamente sfruttata con indicazioni di exploitation mirata e limitata.
- Le campagne storiche documentate — Pegasus via iMessage, Operation Triangulation con allegati invisibili, Predator con impersonazione di siti legittimi — illustrano tecniche condivise tra vendor spyware commerciali.
- Apple Lockdown Mode e aggiornamenti tempestivi rappresentano difese citate da Bitdefender, con impatti documentati sulle funzionalità del device.
Il meccanismo: da un dato confezionato al controllo del telefono
In attacchi zero-click, dati appositamente confezionati attivano l'esecuzione di codice in background senza azione della vittima. Bitdefender descrive il processo: qualcosa di banale come un messaggio di testo malevolo può innescare l'esecuzione automatica del codice, bypassando ogni barriera comportamentale tradizionale.
Gli attaccanti concatenano spesso multiple vulnerabilità in exploit chain per superare protezioni e garantire persistenza. Il percorso tipico attraversa componenti di sistema come iMessage, renderer di immagini, driver GPU fino al kernel, acquisendo privilegi elevati a ogni stadio.
Bitdefender cita campagne emblematiche. Pegasus di NSO Group ha usato exploit zero-click via iMessage per infettare iPhone di giornalisti, attivisti e diplomatici: le vittime sono risultate infettate senza aprire messaggi o cliccare link. Operation Triangulation, nel 2023, ha impiegato allegati invisibili su iMessage per ottenere accesso deep system su iOS. Predator, prodotto dell'alleanza Intellexa, ha targettizzato sia Android che iPhone con link malevoli e exploit avanzati, impersonando organizzazioni legittime per indurre la visita a pagine dannose.
CVE-2025-48595: una vulnerabilità separata dalle campagne storiche
A giugno 2026 Google ha pubblicato il bulletin di sicurezza Android con patch level 2026-06-05 o successivo, che corregge CVE-2025-48595. La fonte primaria source.android.com documenta la vulnerabilità nel framework. GBHackers, riportando l'indicazione di Google, conferma che il bug consente escalation di privilegi remota senza interazione utente, con "indications of limited, targeted exploitation in the wild".
La timeline operativa è standard per il modello Android: pre-notifica ai partner almeno un mese prima della pubblicazione del bulletin, rilascio patch AOSP entro 48 ore dalla pubblicazione. Il dato non specifica i tempi reali di distribuzione agli utenti finali, che dipendono dai vendor device.
Separazione esplicita: Il dossier non stabilisce un collegamento tra CVE-2025-48595 e le campagne specifiche citate da Bitdefender — Pegasus, Predator, Operation Triangulation. Il CVE corrobora il fenomeno generale degli attacchi zero-interaction, ma non costituisce evidence del medesimo evento né delle medesime minacce.
L'industria dello spyware commerciale: convergenza documentata nel 2022-2023
Il Google Threat Analysis Group, in documentazione risalente al 2022-2023 riportata attraverso Cybersecurity-help.cz, ha descritto campagne spyware che illustrano questa convergenza. Una prima campagna ha impiegato exploit chain per iOS con CVE-2022-42856 zero-day e per Android con CVE-2022-3723, CVE-2022-4135 e CVE-2022-38181. Una seconda campagna, a dicembre 2022, ha combinato zero-day e n-day su Samsung Internet Browser, distribuendo spyware in C++ con capacità di cattura dati da applicazioni di messaggistica.
"These campaigns are a reminder that the commercial spyware industry continues to thrive. Even smaller surveillance vendors have access to 0-days, and vendors stockpiling and using 0-day vulnerabilities in secret pose a severe risk to the Internet." — Google Threat Analysis Group, 2022-2023
La condivisione di exploit e tecniche tra vendor di sorveglianza commerciali è documentata nelle fonti storiche. Il dossier non quantifica tuttavia l'affermazione che tecniche un tempo associate principalmente ad agency di intelligence siano ora adottate da altri attori senza dati a supporto.
Cosa fare adesso: criteri di valutazione del profilo di rischio
Bitdefender menziona due difese: aggiornamenti tempestivi e Apple Lockdown Mode. La loro rilevanza varia in base al profilo di rischio dell'utente.
Utenti ad alto rischio (giornalisti, attivisti, diplomatici, dirigenti in settori sensibili): Apple descrive Lockdown Mode come misura "estrema" che riduce la superficie d'attacco. Le funzionalità disabilitate includono anteprime link in Messaggi, allegati in alcuni formati, chiamate FaceTime da contatti non salvati, configurazioni di profilo. La sorgente non specifica se queste limitazioni siano accettabili per tutti i profili.
Verifica del patch level: Per CVE-2025-48595, la correzione richiede patch level 2026-06-05 o successivo. Gli utenti possono verificare il livello di sicurezza nelle impostazioni di sistema Android, sezione Aggiornamenti software. La sorgente non specifica tempi di distribuzione per singoli vendor.
Utenti consumer e aziendali standard: L'adozione di Lockdown Mode non è indicata da Bitdefender come misura generale. La sorgente non specifica criteri di prioritizzazione per profili di rischio intermedi né tassi di adozione della misura.
Il limite della fonte
L'analisi si basa su un articolo editoriale di Bitdefender, vendor di sicurezza con interesse commerciale, non su ricerca originale indipendente. Le campagne spyware citate sono documentate in fonti storiche; non è verificato che rappresentino attività in corso nel 2026. Non è confermato che CVE-2025-48595 sia collegato a specifiche campagne spyware né che Bitdefender abbia scoperto nuove vulnerabilità zero-day.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.bitdefender.com/en-us/blog/hotforsecurity/zero-day-phone-hacks-spyware-phone
- https://gbhackers.com/android-zero-day-vulnerability-actively-exploited/
- https://www.cybersecurity-help.cz/blog/3207.html
- https://gbhackers.com/google-warns-of-a-new-android-zero-day-vulnerability/
- https://source.android.com/docs/security/bulletin/2026/2026-06-01
- https://gbhackers.com/predator-spyware-zero-click-flaws/
- https://gbhackers.com/android-17-advanced-protection-mode/