Aggiornamenti di sicurezza di giugno per Android: corrette 124 vulnerabilità

L'aggiornamento di sicurezza di giugno per Android ha risolto 124 vulnerabilità, tra cui uno 0-day già sfruttato in attacchi limitati e mirati. La vulnerabilità CVE-2025-48595 consente l'escalation dei privilegi senza interazione utente. Inoltre, sono stati corretti altri 18 problemi critici nei componenti di sistema e framework.

Il pacchetto di aggiornamento di giugno per Android include correzioni per 124 vulnerabilità. Tra questi c’è un problema già sfruttato in attacchi attivi monitorato con il codice CVE-2025-48595, che colpisce Android 14, 15, 16 e 16 QPR2 e consente l’escalation dei privilegi sul dispositivo senza alcuna interazione da parte dell’utente.

Il bug 0-day ha un punteggio CVSS di 8,4 ed è dovuto ad un integer overflow nel componente Framework. L’errore potrebbe comportare l’esecuzione del codice e l’escalation dei privilegi locali. L’azienda ha avvertito che il CVE-2025-48595 è già stato utilizzato in “attacchi limitati e mirati”, anche se non ha rivelato alcun dettaglio sugli aggressori, sulle vittime o sulla portata di questi incidenti.

Va notato che tali bug vengono utilizzati dagli sviluppatori di spyware commerciali, nonché in operazioni rivolte a politici, dissidenti, giornalisti, ecc.

Oltre all’ultima vulnerabilità zero-day, nel mese di giugno sono state corrette altre 123 vulnerabilità, inclusi 18 problemi critici nei componenti di sistema, nei componenti del framework e nelle soluzioni proprietarie Qualcomm. Alcuni di essi potrebbero essere utilizzati per causare una negazionje del servizio oppure aumentare i privilegi.

Separatamente, Google rileva una vulnerabilità critica nel componente Framework, che teoricamente rendeva possibile l’escalation dei privilegi da remoto senza condizioni aggiuntive e senza la partecipazione dell’utente. Tuttavia, i dettagli su questo problema non sono ancora stati divulgati.

Come di consueto, Google ha rilasciato due livelli di aggiornamenti di sicurezza: 2026-06-01 e 2026-06-05. Il secondo pacchetto include tutte le correzioni del primo, nonché patch aggiuntive per il kernel Android e componenti di terze parti, tra cui Imagination Technologies, MediaTek, Qualcomm e Unisoc.

Va notato che questo non è il primo 0-day su Android che gli sviluppatori di Google hanno corretto quest’anno.

Nel marzo 2026, ha rilasciato una patch per il problema CVE-2026-21385 nel componente display Qualcomm e questo bug è stato anche contrassegnato come utilizzato in attacchi mirati limitati.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.