Aggiornamento di sicurezza Android di novembre 2026: corrette 216 falle, una senza alcun tocco. I telefoni del tuo team sono aggiornati?

Il 2 novembre 2026 Google ha pubblicato il bollettino di sicurezza Android di novembre. Corregge 216 vulnerabilità, 23 critiche e 193 di gravità alta. La peggiore è una falla nel componente Framework che consente a un attaccante di eseguire codice su un telefono da remoto, senza alcun tocco del proprietario e senza privilegi aggiuntivi. Quello che devi fare oggi è semplice: chiedi a ogni dipendente che apre l'email aziendale, WhatsApp Business o un'app bancaria su un telefono Android di installare l'aggiornamento, poi di verificare che la data di «Aggiornamento della sicurezza Android» nelle Impostazioni indichi il 5 novembre 2026 o una data successiva. Un telefono con Android 13 o precedente non riceverà questa correzione, perché il bollettino copre solo le versioni da 14 a 17.

Che cosa ha corretto Google, esattamente?

Secondo il bollettino di sicurezza Android di novembre 2026, le correzioni arrivano in due livelli. Il livello del 1 novembre copre 119 vulnerabilità, 8 critiche, in parti centrali del sistema come Framework, System e l'ambiente di esecuzione. Il livello del 5 novembre copre 97 vulnerabilità, 15 critiche, nel kernel Linux (31 falle) e nei componenti dei produttori di chip: MediaTek (30), Qualcomm (17 tra parti aperte e proprietarie), Imagination (12), Unisoc (4) e Arm (3). Un telefono al livello del 5 novembre è protetto dalle falle di entrambi i livelli.

Google afferma che la falla più grave (CVE-2026-58868) potrebbe portare all'esecuzione di codice da remoto senza privilegi di esecuzione aggiuntivi e senza interazione dell'utente. La sezione System contiene altre due falle critiche dello stesso tipo (CVE-2026-58876 e CVE-2026-58936), più tre falle critiche di escalation dei privilegi.

Un messaggio che fa cadere la chiamata: la falla WAP Push

Tra le falle critiche c'è un bug di negazione del servizio (CVE-2026-58882). Il rapporto di CyberInsider spiega che basta un solo messaggio WAP Push malformato per mandare in crash il processo telefonico di Android, interrompendo le chiamate in corso, comprese quelle di emergenza, senza che il messaggio compaia mai nella posta in arrivo né che il destinatario apra qualcosa. Peggio ancora, messaggi ripetuti possono riprodurre il crash anche dopo un riavvio. La parte rassicurante: il rapporto non ha trovato finora alcuno sfruttamento reale. Ma il codice proof of concept è pubblico, il che significa che il tempo tra la divulgazione e gli attacchi può essere breve.

Immagina un commerciale o un corriere che vive al telefono tutto il giorno, e le cui chiamate cadono ogni volta che arriva un messaggio che non vede mai. Non è una fuga di dati, ma è il lavoro che si ferma.

Quando arriva l'aggiornamento sui telefoni Samsung?

Samsung ha pubblicato la sua release di manutenzione della sicurezza di novembre 2026 il 3 novembre. Include le correzioni di Google e quattro patch di Samsung Semiconductor, e dichiara di aggiungere 24 elementi specifici per Galaxy. Ma un bollettino pubblicato non significa che ogni dispositivo riceva l'aggiornamento quel giorno: viene distribuito a ondate per modello e regione, e alcuni modelli più vecchi ricevono gli aggiornamenti di sicurezza ogni tre mesi anziché ogni mese. Quindi non accontentarti di «hai aggiornato?». Chiedi la data mostrata nelle Impostazioni.

5 passi per i telefoni della tua azienda questa settimana

• Fai l'elenco dei telefoni: ogni telefono Android che un dipendente usa per accedere all'email, ai sistemi o alle app bancarie dell'azienda, che sia un telefono aziendale o il suo personale.
• Controlla la data di sicurezza: secondo la pagina di assistenza di Google, si trova nelle Impostazioni, sotto «Informazioni sul telefono» o «Sicurezza», con la voce «Aggiornamento della sicurezza Android». L'obiettivo è 2026-11-05 o successivo, appena disponibile per il modello.
• Installa anche l'aggiornamento di sistema Google Play: parte delle correzioni del 1 novembre arriva tramite questo aggiornamento, che compare nelle stesse impostazioni con una data propria.
• Tratta i dispositivi vecchi come un rischio noto: un telefono fermo ad Android 13 o precedente è fuori da questo bollettino. Tienilo lontano dagli account aziendali sensibili e pianificane la sostituzione.
• Rendi la regola automatica: strumenti di gestione dei dispositivi come Microsoft Intune permettono di fissare un livello minimo di patch di sicurezza, così un dispositivo più vecchio resta bloccato fuori da email e sistemi finché non si aggiorna.

L'app Android della tua azienda è coinvolta?

Queste falle sono nel sistema operativo stesso, non nella tua app, quindi non devi modificare il tuo codice a causa loro. Ma la tua app gira su quel sistema: se mostra dati dei clienti o incassa pagamenti, un telefono non aggiornato indebolisce la protezione che hai costruito. Alcune app bancarie usano l'API Play Integrity per rifiutare i dispositivi non sicuri, e le app aziendali sensibili possono fare lo stesso. E se distribuisci un'app interna fuori dallo store, leggi anche il nostro articolo sulle restrizioni di Google alle installazioni fuori dallo store.

Il punto di vista di Origami

La maggior parte delle intrusioni non parte dal server aziendale. Parte dal dispositivo di un dipendente, che contiene la sua email, i suoi messaggi e le sue password. L'aggiornamento mensile è gratuito e richiede pochi minuti, ma in un'azienda dove nessuno lo segue non avviene da solo. Rendi il controllo della data di sicurezza un appuntamento fisso all'inizio di ogni mese, come la verifica delle email sospette che abbiamo descritto nel nostro articolo sulle email di phishing. Quando sviluppiamo app e sistemi su misura, aggiungiamo un controllo dell'integrità del dispositivo e della versione del sistema prima di mostrare qualsiasi dato sensibile. Se vuoi una revisione dei dispositivi del tuo team o della tua app, contattaci o scopri i nostri servizi.

Fonti

• Google — Android Security Bulletin, November 2026: numero di vulnerabilità, livelli di patch, componenti coinvolti e versioni Android da 14 a 17.
• Samsung — Mobile Security Updates (SMR Nov-2026): data di pubblicazione, patch di Samsung Semiconductor ed elementi Galaxy.
• Google — Guida di Android: controllare e aggiornare la versione di Android: dove si trova la data dell'aggiornamento di sicurezza nelle Impostazioni.
• CyberInsider — l'aggiornamento Android di novembre e la falla WAP Push: come funziona CVE-2026-58882 e il proof of concept pubblico.