Android: zero-day nel Framework già sfruttata, il divario di…

Google ha rilasciato l'Android Security Bulletin di giugno 2026 con 124 vulnerabilità, includendo la CVE-2025-48595, una zero-day di tipo Elevation of Privilege nel

{"main_topic":"cybersecurity","topics":["cybersecurity","vulnerabilita","zero-day","patch","google"]}

Google ha rilasciato l'Android Security Bulletin di giugno 2026 con 124 vulnerabilità, includendo la CVE-2025-48595, una zero-day di tipo Elevation of Privilege nel Framework Android con CVSS 8.4. Il bug, causato da integer overflow, consente escalation di privilegi senza interazione utente e risulta già attivamente sfruttato in attacchi mirati. Il divario tra dispositivi Pixel, aggiornati entro pochi giorni, e il lungo tail di terminali di produttori terzi con chip Unisoc o MediaTek, rende la minaccia strutturalmente asimmetrica per l'ecosistema Android.

Punti chiave

La CVE-2025-48595 è una vulnerabilità Elevation of Privilege nel Framework Android con punteggio CVSS 8.4, classificata High da Google, non Critical.
Google ha confermato sfruttamento "limitato e mirato in the wild" con profilo zero-click: nessun privilegio aggiuntivo richiesto, nessuna interazione utente necessaria.
Le versioni interessate sono Android 14, 15, 16 e 16 QPR2; il security patch level correttivo è il 2026-06-05.
Il bollettino giugno 2026 corregge complessivamente 124 vulnerabilità, di cui 32 nel Framework (2 Critical oltre alla zero-day) e 10 Critical nel System.

La meccanica della zero-day: integer overflow silenzioso

La CVE-2025-48595 risiede nel Framework Android, componente centrale che gestisce l'interazione tra applicazioni e sistema operativo. Secondo l'analisi tecnica di Cyber Security 360, la vulnerabilità è causata da integer overflow in più posizioni del codice Framework. Questa classe di bug, tipica del codice C/C++ sottostante Android, si verifica quando un'operazione aritmetica supera il massimo valore rappresentabile, generando un risultato avvolto (wrap-around) che può essere sfruttato per sovrascrivere strutture di memoria controllate dall'attaccante.

Il bollettino ufficiale Google, pubblicato su source.android.com, elenca la vulnerabilità con bug ID A-430889718, tipo EoP e severità High. La citazione diretta dal bollettino, riportata da TechRepublic, specifica che "the most severe of these issues is a critical security vulnerability in the Framework component that could lead to remote escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation". Questa combinazione — escalation di privilegi senza prerequisiti di accesso e senza clic dell'utente — posiziona il bug come primo stadio ideale per catene di attacco più complesse, dove l'obiettivo finale può essere l'esecuzione di codice a livello di sistema o l'accesso a dati sensibili.

La conferma di Google: attacchi mirati già in corso

Google ha confermato esplicitamente l'esistenza di "indicazioni di sfruttamento limitato e mirato in the wild" per la CVE-2025-48595, come riportato da Cyber Security 360. Questa formulazione, ricorrente nel linguaggio dei bollettini Android, distingue la vulnerabilità da quelle teoriche o dimostrate solo in laboratorio: indica che gli operatori di minaccia hanno già sviluppato exploit funzionanti e li hanno impiegati contro bersagli specifici.

Il profilo zero-click amplifica significativamente la pericolosità. A differenza degli attacchi che richiedono l'apertura di un allegato, il clic su un link o l'interazione con un'app, questo vettore consente la compromissione silenziosa del dispositivo. L'utente non riceve notifiche sospette, non visualizza richieste di permesso anomale, non compie azioni consapevoli che potrebbero innescare allarmi comportamentali. Questa caratteristica rende la vulnerabilità particolarmente appetibile per attori di minaccia avanzati orientati alla sorveglianza o all'infiltrazione persistente.

L'identità degli operatori e i specifici bersagli degli attacchi non sono noti: Google non divulga queste informazioni nei bollettini pubblici. Non emergono nel dossier evidenze di sovrapposizioni infrastrutturali che colleghino l'attività di sfruttamento a famiglie di spyware commerciali o di Stato note allo stato attuale.

Il divario di patch: Pixel contro il lungo tail Android

Google rilascia le patch AOSP entro 48 ore dalla pubblicazione del bollettino, come indicato da Prothect, e notifica i partner Android con almeno un mese di anticipo rispetto alla pubblicazione ufficiale, secondo il testo stesso del bollettino su source.android.com. Questa tempistica garantisce ai dispositivi Pixel di ricevere gli aggiornamenti nel giro di giorni. Il documento di supporto Google (FONTE 6) conferma la struttura dell'ecosistema di aggiornamento, sebbene non specifichi la CVE in oggetto.

La frattura si apre sul lato dei produttori terzi. Dispositivi di fascia bassa, spesso equipaggiati con System-on-Chip Unisoc o MediaTek e venduti in mercati emergenti, transitano attraverso catene di approvazione più lunghe e spesso cessano il supporto prima dei termini ufficiali Google. Android 14, versione minima interessata dalla vulnerabilità, rappresenta una soglia di esclusione: terminali con Android 13 o precedenti, pur essendo potenzialmente esposti a varianti dello stesso bug, non rientrano nella copertura patch documentata. Questa stratificazione genera una popolazione di dispositivi "orfani" che non riceveranno correzioni anche quando esistono, espandendo la superficie di attacco effettiva oltre i confini delle versioni ufficialmente vulnerabili.

Per le aziende, la frammentazione implica un problema di governance: l'inventory dei dispositivi Android aziendali e BYOD deve incrociare il patch level effettivo, non la versione del sistema operativo, per determinare l'esposizione reale. La conformità a framework regolatori come NIS2 e GDPR presuppone vulnerability management documentabile: la presenza di terminali non aggiornabili costituisce una lacuna strutturale nei controlli di sicurezza.

Cosa fare adesso

Verificare immediatamente il security patch level su tutti i dispositivi Android aziendali e BYOD: il livello 2026-06-05 o successivo include la correzione per CVE-2025-48595.
Applicare enforcement MDM/UEM per bloccare l'accesso a risorse aziendali sensibili da dispositivi con patch level precedente al 2026-06-05.
Isolare o sostituire i dispositivi con Android 13 o precedenti, non coperti dal bollettino e quindi esposti senza prospettiva di correzione.
Prioritizzare l'aggiornamento dei dispositivi Pixel e dei terminali con programma di supporto esteso attivo, verificando la disponibilità OEM-specifica per i brand con patch certificate.

"The most severe of these issues is a critical security vulnerability in the Framework component that could lead to remote escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation." — Google Android Security Bulletin, citato da TechRepublic

Perché questa zero-day rivela la fragilità strutturale di Android

Il bug di giugno 2026 non è un'anomalia isolata ma l'ennesima conferma di una tensione progettuale insita nell'architettura Android: la difesa a strati, con Sandbox, SELinux, Verified Boot e Play Protect, funziona efficacemente quando tutti i livelli sono aggiornati. Quando il Framework stesso — il livello che media ogni interazione applicativa — presenta una vulnerabilità zero-click sfruttabile senza prerequisiti, la catena difensiva si comprime sui meccanismi post-compromissione.

La struttura di notifica anticipata ai partner, pur essendo un processo maturo, non traduce automaticamente in protezione diffusa. Il divario temporale tra disponibilità AOSP e rilascio effettivo sui dispositivi, misurato in settimane o mesi per molti produttori, costituisce una finestra di esposizione gestita non da Google ma dalla filiera distributiva. Per le organizzazioni, questo significa che la sicurezza Android non può più essere delegata al vendor del dispositivo: richiede monitoring attivo del patch level, segmentazione delle risorse in base allo stato di aggiornamento, e piani di sostituzione accelerata per i terminali fuori supporto. La zero-day CVE-2025-48595 è una vulnerabilità tecnica, ma il suo impatto è amplificato da una governance dell'ecosistema che ancora non riesce a distribuire le correzioni alla velocità della minaccia.

Domande frequenti

Perché Google classifica la CVE-2025-48595 come High e non Critical?

Google utilizza criteri interni che ponderano la severità tecnica con la probabilità di impatto su utenti reali. La distinzione non diminuisce la pericolosità del bug: la conferma di sfruttamento attivo la eleva a priorità operativa indipendentemente dall'etichetta formale.

I dispositivi con Android 13 sono sicuri perché non elencati?

No. L'assenza dalla tabella ufficiale indica che Google non ha rilasciato correzioni per quelle versioni, non che la vulnerabilità sia assente. I dispositivi con Android 13 o precedenti rimangono esposti senza prospettiva di patch.

Quanto tempo hanno gli operatori di minaccia per sfruttare i dispositivi non aggiornati?

Il dossier non specifica la data di inizio dello sfruttamento in the wild né la persistenza delle campagne attive. La finestra di rischio per i dispositivi non patchati resta aperta fino all'applicazione del security patch level 2026-06-05.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti