Il 17 agosto 2026 SSD Secure Disclosure ha reso pubblica la seconda fase di una catena di exploit che colpisce i modem VoLTE dei SoC Unisoc, consentendo a un attaccante con controllo di una rete 4G rogue di ottenere accesso completo al kernel Android dopo che la vittima risponde a una chiamata video. Il problema è strutturale: l'assenza di isolamento hardware tra modem processor e application processor nei chip budget più diffusi al mondo espone un varco che i security patch mensili di Google non possono chiudere.
- L'advisory SSD del 17 agosto 2026 documenta Stage 2 di una catena iniziata a marzo 2026: RCE nel modem via SIP/SDP malformed, poi privilege escalation al kernel Android attraverso memoria fisica condivisa
- L'unica barriera tra modem e application processor è l'ARM Memory Protection Unit, riconfigurabile via software da codice in esecuzione nel modem stesso
- Nessun CVE è stato assegnato alla catena, nessuna patch è disponibile e l'Android Security Bulletin di agosto 2026 non include la vulnerabilità
- SSD ha tentato contatto con Unisoc via email e LinkedIn senza ricevere risposta per circa cinque mesi, dal rilascio di Stage 1
Come funziona la catena: dal modem al kernel in due stadi
La catena si articola in due stadi sequenziali. Stage 1, divulgato da SSD a marzo 2026, sfrutta una corruzione di memoria nel firmware modem di Unisoc attraverso messaggi INVITE SIP con corpi SDP malformati. Questo consente l'esecuzione di codice arbitrario nel contesto del modem processor, il primo anello della catena.
Stage 2, pubblicato l'17 agosto 2026, eleva i privilegi fino al kernel Android. Il ricercatore indipendente 0x50594d ha sviluppato il proof-of-concept su un Realme C33 con SoC T612, confermando la vulnerabilità anche su Motorola E13 (patch livello febbraio 2025) e Xiaomi Redmi A5 (patch livello gennaio 2026). Il T7250 è vulnerabile; il T616, indicato come "close relative" del T612, non è confermato.
Il meccanismo tecnico sfrutta una caratteristica architetturale dei SoC Unisoc: modem processor e application processor condividono lo stesso spazio di memoria fisica senza isolamento hardware. L'unica separazione è affidata all'ARM Memory Protection Unit, che i ricercatori hanno riconfigurato scrivendo nei registri del coprocessore ARM tramite istruzioni MCR p15. La configurazione imposta l'intero spazio indirizzi fisici a 32-bit — da 0x00000000 a 0x100000000 — come leggibile, scrivibile ed eseguibile dal contesto modem.
Con questa mappatura, il payload ha sovrascritto il kernel Android residente all'indirizzo fisico 0x80080000, confermato nei dispositivi testati. La riuscita dell'exploit è verificata dall'osservazione di printk('Exploit worked!') nei log kernel del dispositivo bersaglio.
Il PoC: rete rogue 4G e frammentazione del payload
L'architettura di attacco documentata da SSD richiede che l'attaccante controlli una rete 4G privata. Il proof-of-concept si appoggia su componenti open source e hardware definiti: Open5GS per il core network, LimeSDR come radio software-defined, e SIM card programmabili Osmocom. Il payload Stage 2 utilizza una tecnica di egg-hunter con frammentazione in chunk da 0x4b0 byte per aggirare i vincoli di allocazione memoria del firmware modem.
Il dossier non conferma che la catena funzioni su reti 4G commerciali reali senza modifiche. L'attacco richiede che la vittima risponda alla chiamata video VoLTE: non è una compromissione zero-click.
"The condition making this possible is a shared physical memory space between the modem processor and the application processor within the Unisoc SoC, with no hardware-enforced boundary preventing modem-context code from modifying kernel memory" — SSD Secure Disclosure, via The Hacker News
Il silenzio di Unisoc e il vuoto di accountability nei chipmaker secondari
SSD ha tentato il contatto con Unisoc attraverso email e LinkedIn senza ottenere risposta. Il ricercatore 0x50594d ha pubblicato il PoC completo. L'assenza di reazione si protrae da circa cinque mesi, dal rilascio di Stage 1.
Questo silenzio colloca Unisoc in una posizione distinta rispetto alla supply-chain Android standard. I security patch mensili di Google, che coprono il sistema operativo e i componenti Qualcomm per i dispositivi Pixel e i partner certificati, non estendono la loro copertura al firmware proprietario dei modem Unisoc. Il risultato è una firmware attack surface persistente, invisibile ai meccanismi di gestione vulnerabilità basati su CVE e non corretta dai cicli di rilascio Android.
Il precedente CVE-2022-20210 (CVSS 9.8, divulgato da Check Point Research) dimostra che Unisoc è in grado di patchare vulnerabilità modem quando lo decide. La mancanza di azione nel caso presente solleva questioni sulle procedure di disclosure e sulla responsabilità dei chipmaker non top-tier nel ecosistema mobile.
Unisoc detiene circa il 14% del mercato globale di smartphone SoC nella prima metà del 2026, secondo Counterpoint Research. I dispositivi con questi chip — Motorola, Xiaomi, Realme, Samsung entry-level — sono distribuiti in oltre 140 paesi, con concentrazione nei mercati emergenti dove i canali di aggiornamento sono già frammentati.
Perché è importante
Il brief non specifica misure correttive disponibili né azioni che gli utenti possano intraprendere autonomamente. L'assenza di CVE e di advisory ufficiale UNISOC impedisce l'inserimento della vulnerabilità nei sistemi di gestione patch aziendali e nei tool di vulnerability management.
Il dossier non documenta se CVE-2025-31718, pubblicato nell'ottobre 2025, sia correlato alla disclosure SSD di marzo 2026. Non emerge sovrapposizione infrastrutturale che colleghi la catena attuale a campagne di attacco attive o exploit in-the-wild allo stato attuale.
La ricerca di Kaspersky ICS CERT di novembre 2025 aveva già documentato la stessa condizione architetturale — memoria fisica condivisa senza isolamento hardware — sul chip UIS7862A in unità automotive. Questa convergenza indica che il problema di progettazione non è confinato allo smartphone.
Cosa il mercato non dice
La frammentazione della supply-chain Android crea una gerarchia implicita di sicurezza: i chip Qualcomm e MediaTek top-tier sono sottoposti a scrutiny più intenso, con advisory strutturati, programmi bug bounty e integrazione nei cicli patch Google. Unisoc opera fuori da questo perimetro, pur essendo il terzo produttore globale di SoC smartphone per volume.
Il risultato è una cecità strutturale. Gli OEM che montano chip Unisoc — Motorola, Xiaomi, Realme, Samsung nella fascia entry-level — non hanno meccanismi per distribuire correzioni firmware indipendenti dal vendor del chip. L'utente finale riceve aggiornamenti Android che non toccano il firmware modem, con l'illusione di una superficie protetta.
L'assenza di risposta di Unisoc per cinque mesi, in un settore dove i cicli di disclosure coordinata prevedono tipicamente 90 giorni, indica un accountability vacuum che il mercato non ha ancora strumenti per sanzionare. La sicurezza dei dispositivi budget non è un problema di sicurezza marginale: è il problema di sicurezza della maggioranza degli utenti Android globali.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- https://hacklido.com/news/unisoc-volte-video-call-exploit-chain-can-give-attackers-full-android-kernel-access
- https://www.guardianmssp.com/2026/08/17/unisoc-volte-video-call-exploit-chain-can-give-attackers-full-android-kernel-access/
- https://news.cybertechworld.co.in/index.php/2026/08/17/unisoc-volte-video-call-exploit-chain-can-give-attackers-full-android-kernel-access/
- https://www.infosecurity-magazine.com/news/unisoc-modem-flaw-rce-calls/
- https://www.techtimes.com/articles/324810/20260818/unisoc-modem-flaw-turns-video-call-android-kernel-takeover-no-patch-no-cve.htm
- https://www.darkreading.com/mobile-security/video-call-exploit-chains-two-flaws-unisoc-modems
- https://thehackernews.com/2026/08/unisoc-volte-video-call-exploit-chain.html
- https://hacklido.com/news/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.