Il bollettino di novembre chiude 216 vulnerabilità. Una, nel Framework, esegue codice da remoto senza nessuna interazione dell'utente.
Un attacco che non ha bisogno di te
Quanti telefoni aziendali, in questo momento, montano l'ultima patch di sicurezza? È una domanda scomoda, e il bollettino Android di novembre 2026 la rende urgente. Google ha chiuso 216 vulnerabilità, 23 delle quali classificate come critiche. Tra queste ce n'è una che pesa più delle altre.
Si chiama CVE-2026-58868 e vive nel Framework di Android, cioè nel cuore del sistema. Permette l'esecuzione di codice da remoto senza che l'utente debba fare nulla: niente link da cliccare, niente file da aprire, nessun tocco. In gergo si chiama zero-click, ed è la categoria di falle più temuta, proprio perché toglie di mezzo l'unico filtro su cui di solito contiamo: la prudenza della persona davanti allo schermo.
Il bollettino arriva su due livelli di patch. Il primo, datato 2026-11-01, copre 119 CVE tra Android runtime, Framework e System. Il secondo, 2026-11-05, ne aggiunge 97 su kernel e componenti dei fornitori: sei falle nel kernel (Bluetooth, HID e pKVM) e otto nei modem MediaTek. Sono interessate le versioni da Android 14 fino alla 17. La distinzione tra i due livelli non è un dettaglio burocratico: un dispositivo può risultare "aggiornato a novembre" e avere comunque installato solo il primo blocco.
Qui sta il problema vero, che non è tecnico ma di processo. Scaricare un aggiornamento non vuol dire averlo installato. Una notifica vista e rimandata non chiude niente. L'unico dato che conta è la stringa esatta del livello di patch sul dispositivo, e va letta telefono per telefono, non dedotta dalla data sul calendario.
Fonte: Cybersecurity360
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Le patch del telefono restano il punto cieco di quasi tutte le aziende con cui lavoro. Sui server c'è un calendario, sui PC c'è un sistema che distribuisce gli aggiornamenti, ma lo smartphone viene trattato come un oggetto personale: ci pensa il dipendente, quando gli arriva la notifica, se gli arriva. Una falla zero-click come questa fa saltare quel compromesso, perché non chiede collaborazione a nessuno: non serve che qualcuno sbagli a cliccare.
Secondo me il nodo non è nemmeno la velocità con cui Google rilascia la correzione, che tutto sommato è buona. È lo spazio che separa "disponibile" da "installato su tutti i telefoni che toccano i dati aziendali". Su una flotta eterogenea, con marche e versioni diverse, quello spazio può durare settimane, e nel frattempo nessuno sa dire con precisione chi è coperto e chi no. Resta un punto onestamente complicato: non tutti i modelli ricevono le patch allo stesso ritmo, e per i dispositivi più vecchi a volte la risposta giusta è semplicemente mandarli in pensione. Se gestisci telefoni Android in azienda e oggi non sai dirmi a che livello di patch sono, è proprio il tipo di verifica con cui posso darti una mano: costruire l'inventario, leggere lo stato reale dispositivo per dispositivo e mettere in piedi un processo di aggiornamento che non dipenda dalla buona volontà del singolo.