Il 28 maggio 2026 Bitdefender ha pubblicato una ricostruzione che ricompila casi storici di spyware mobile basati su exploit zero-day, documentando come catene di vulnerabilità per iOS e Android siano diventate prodotto commerciale accessibile a governi e potenzialmente altri acquirenti. Il pezzo non presenta nuove scoperte tecniche originali, ma sintetizza meccanismi di attacco già confermati da ricercatori indipendenti e vendor. La posta in gioco è la consapevolezza che dispositivi mobili aggiornati e protetti da soluzioni di sicurezza convenzionali restano esposti a infezioni che non richiedono alcuna interazione dell'utente.
- Gli spyware commerciali sfruttano vulnerabilità zero-day in componenti di sistema — message parser, image renderer, browser engine, kernel — per eseguire codice remoto senza interazione dell'utente.
- Pegasus, sviluppato da NSO Group, ha utilizzato exploit zero-click tramite iMessage; Operation Triangulation ha combinato multipli zero-day iOS con allegati iMessage invisibili.
- Predator, collegato all'alleanza Intellexa, ha preso di mira sia iPhone che Android, utilizzando tecniche che spaziano dal network injection a cinque zero-day Chrome/Android in campagne del 2021.
- Apple ha introdotto Lockdown Mode nel 2022 come risposta diretta agli attacchi zero-click; il Google Threat Analysis Group ha avvertito che i vendor di spyware commerciale continuano a sviluppare exploit chain Android sofisticati.
Come funziona l'infezione zero-click
Secondo la fonte citata, gli spyware possono infettare telefoni attraverso messaggi, chiamate, immagini, app o siti web, a volte senza che la vittima interagisca con nulla. Negli attacchi zero-click, dati appositamente predisposti attivano l'esecuzione di codice in background sfruttando falle in messaging apps, image rendering systems o call functions. Il meccanismo non richiede click su link, apertura di allegati o risposta a chiamate: la ricezione stessa del dato malevolo è sufficiente.
La fonte descrive questo processo come l'evoluzione dello spyware da strumento di intelligence a prodotto commerciale, con tecniche che si diffondono dall'ecosistema iOS a quello Android e dal phishing al zero-click puro. Il dato rilevante non è la novità tecnica — i casi citati sono storici — ma la ricostruzione di un pattern consolidato.
I casi documentati: da Pegasus a Operation Triangulation
Pegasus, sviluppato da NSO Group, ha utilizzato exploit zero-click consegnati tramite il servizio iMessage di Apple. Operation Triangulation, attiva nel 2023, ha sfruttato multipli zero-day iOS con allegati iMessage invisibili che attivavano l'infezione automaticamente.
Secondo la fonte, le vulnerabilità CVE-2023-32434 e CVE-2023-32435 — con punteggio CVSS rispettivamente di 7.8 HIGH e 8.8 HIGH secondo il National Vulnerability Database — sono state utilizzate in attacchi spyware via iMessage zero-click dal 2019. La CVE-2023-32439, anch'essa con CVSS 8.8 HIGH, è stata patchata da Apple ed è stata potenzialmente sfruttata attivamente. Secondo le release notes di sicurezza di Apple e la ricostruzione di Kaspersky riportata da Bitdefender, queste falle hanno alimentato campagne di sorveglianza per anni prima della correzione ufficiale.
Predator e l'espansione ad Android
Predator, collegato all'alleanza Intellexa, ha preso di mira sia dispositivi Android che iPhone. Su iOS, secondo la fonte, ha utilizzato una exploit chain con tre vulnerabilità specifiche fino alla versione iOS 16.6.1, impiegando tecniche di network injection: in un caso documentato in Egitto, un dispositivo installato ai confini della rete Vodafone Egypt ha reindirizzato automaticamente un obiettivo verso un sito web malevolo.
Su Android, Predator ha utilizzato cinque zero-day Chrome/Android in tre campagne tra agosto e ottobre 2021. Le CVE documentate sono: CVE-2021-38000 (CVSS 6.1 MEDIUM secondo NVD), CVE-2021-37976, CVE-2021-37973, CVE-2021-1048 e CVE-2021-38003. Secondo il Google Threat Analysis Group, citato da Bitdefender, gli exploit zero-day sono stati utilizzati insieme a exploit n-day, approfittando della differenza temporale tra il rilascio delle patch e il loro effettivo deploy nell'ecosistema Android.
"A single missed call. A malicious image. A hidden flaw buried deep in your phone's software. That can be enough for attackers to install spyware and read your messages, track your location, record you through the phone's camera and mic, and siphon sensitive data — without you tapping a single link." — Bitdefender HotforSecurity
Lockdown Mode e i limiti delle contromisure
Apple ha introdotto Lockdown Mode nel 2022 come risposta diretta agli attacchi zero-click. La funzione limita componenti di superficie d'attacco come iMessage, FaceTime e WebKit, riducendo la probabilità di attivazione automatica di exploit. Secondo la fonte, Apple ha notificato utenti in oltre 150 paesi tra il 2021 e aprile 2025; nel solo aprile 2024 ha avvisato utenti in 92 paesi di targeting da spyware mercenario.
Il dossier non specifica tuttavia se Lockdown Mode blocchi tutte le categorie di exploit zero-click documentate, né quantifica l'effettiva riduzione del rischio rispetto agli attacchi che richiedono interazione. La fonte non riporta inoltre nuovi casi zero-day nel 2026 oltre alla sintesi storica dei casi citati.
Perché è importante
Il pezzo Bitdefender non presenta ricerche originali o scoperte inedite: è una ricostruzione editoriale che ricompila casi già pubblicati da altri ricercatori e vendor. Questo limite metodologico è rilevante per la lettura: il valore del dossier sta nella sistematizzazione di pattern già confermati, non nell'apporto di nuove evidence tecniche verificabili.
Il dossier non quantifica la scala reale delle infezioni zero-click rispetto agli attacchi che richiedono interazione. Non è specificato se esistano vendor di spyware attivi nel 2026 oltre a NSO Group e Intellexa, né se Bitdefender Mobile Security rilevi specificamente exploit zero-click o solo indicatori di spyware noti. La fonte non documenta misure correttive specifiche al di fuori di Lockdown Mode e aggiornamenti di sistema.
La conseguenza concreta per utenti ad alto rischio — giornalisti, attivisti, dirigenti — è che aggiornamenti tempestivi e Lockdown Mode rappresentano contromisure parziali contro un threat model che include attori con accesso a exploit zero-day commerciali. Per il settore enterprise, la pressione resta sui vendor di ridurre la superficie d'attacco di componenti come iMessage, WebKit e driver di sistema.
Domande frequenti
Cosa distingue uno zero-click da un attacco che richiede interazione?
Nello zero-click la vittima non deve aprire messaggi, cliccare link o rispondere a chiamate: la ricezione o il processing automatico di dati appositamente predisposti è sufficiente a innescare l'exploit.
Perché i dispositivi mobili sono bersagli prioritari?
Secondo la fonte, smartphone e tablet concentrano dati personali, comunicazioni crittografate, funzioni di localizzazione e sensori audio/video, con una superficie d'attacco estesa a componenti di sistema spesso esposti a internet.
Il dossier Bitdefender riporta nuove vulnerabilità del 2026?
No. Il pezzo del 28 maggio 2026 sintetizza casi storici già documentati da Kaspersky, Google TAG, Citizen Lab e altri ricercatori indipendenti, senza aggiungere nuove CVE o campagne di attacco originali.
Le informazioni sono basate sull'advisory citato e aggiornate al momento della pubblicazione.
Fonti
- https://www.bitdefender.com/en-us/blog/hotforsecurity/zero-day-phone-hacks-spyware-phone
- https://www.bitdefender.com/en-us/business/infozone/what-is-zero-day-vulnerability
- https://www.bitdefender.com/en-au/blog/hotforsecurity/pegasus-spyware-failed-infect-serbian-journalists-amnesty-international
- https://www.bitdefender.com/en-us/blog/hotforsecurity/what-is-lockdown-mode-iphone-mac-spyware-when-use-it
- https://www.bitdefender.com/en-us/blog/hotforsecurity/apple-issues-emergency-updates-to-combat-triangulation-spyware
- https://www.bitdefender.com/en-us/blog/hotforsecurity/predator-spyware-operators-caught-exploiting-security-holes-now-patched-by-apple-and-google
- https://www.bitdefender.com/en-us/blog/hotforsecurity/predator-spyware-used-zero-days-to-infect-android-devices-google-says
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.