Il bollettino di sicurezza Android di novembre 2026 elenca 216 vulnerabilità: 23 critiche e 193 ad alta gravità. Per coprire tutti i problemi indicati serve il livello di patch 2026-11-05 o successivo. INCIBE-CERT ha pubblicato l’avviso il 3 novembre 2026 e riassume il bollettino ufficiale di Google.
Quale livello di patch copre tutto il bollettino?
Secondo INCIBE-CERT, il livello 2026-11-01 copre soltanto il primo gruppo di correzioni; 2026-11-05 o successivo risolve tutti i problemi elencati. Per il tuo telefono, controlla il livello di patch di sicurezza installato e applica l’aggiornamento del produttore che lo porta alla soglia completa.
L’avviso cita Android 14, 15, 16, 16 QPR2 e 17 per i componenti AOSP, con applicabilità diversa a seconda della vulnerabilità. Il bollettino comprende anche il kernel Linux e componenti di fornitori come MediaTek e Qualcomm. Il nuovo avviso segue quello di ottobre, trattato da NeoTeo nel resoconto sulle vulnerabilità del bollettino Android di ottobre.
I CVE critici hanno impatti e condizioni diversi
Tre vulnerabilità del Framework, CVE-2026-58868, CVE-2026-58876 e CVE-2026-58936, potrebbero consentire l’esecuzione di codice da remoto senza privilegi aggiuntivi né interazione dell’utente. INCIBE-CERT descrive la prima come un overflow del buffer nell’heap; le altre due sono problemi di tipo use-after-free, cioè l’uso di memoria dopo che è stata liberata.
Altri otto CVE critici riguardano modem MediaTek. Lo scenario di escalation dei privilegi descritto nell’avviso richiede che il dispositivo si colleghi a una stazione base controllata da un aggressore. Effetti e condizioni cambiano quindi da una vulnerabilità all’altra: il totale dei CVE critici non indica che ogni falla consenta lo stesso tipo di attacco.
Che cosa dice l’avviso sullo sfruttamento?
Alla pubblicazione del 3 novembre 2026, l’avviso segnava come non sfruttati tutti i 23 CVE critici e avvertiva che il dato poteva cambiare. I 23 casi rappresentano circa il 10,6% dei 216 CVE elencati: è la quota di vulnerabilità classificate come critiche, non la probabilità che un dispositivo venga compromesso.
