Impatto Sistemico

Critico (76.28)

Sintesi

Google ha pubblicato il bollettino di sicurezza Android di novembre, contenente correzioni per 149 vulnerabilità, di cui 12 con gravità “critica” e 137 con gravità “alta”. Tra queste si evidenzia la CVE-2026-58882 per la quale risulta disponibile un Proof of Concept (PoC) in rete.

Tipologia

• Remote Code Execution
• Elevation of Privilege
• Denial of Service
• Information Disclosure

Descrizione e potenziali impatti

La vulnerabilità identificata tramite la CVE-2026-58882 – di tipo ” Denial of Service ” e nota come “SMS of Death” – è presente nel componente WapPushOverSms di Android ed è dovuta a meccanismi di controllo non adeguati sui parametri utilizzati durante l’elaborazione dei messaggi WAP Push da parte della funzione decodeWapPdu . Un utente malintenzionato, tramite l’invio di un SMS WAP Push opportunamente predisposto e senza richiedere alcuna interazione da parte dell’utente target, potrebbe causare l’arresto anomalo del processo com.android.phone , compromettendo la disponibilità dei servizi di rete cellulare, interrompendo le comunicazioni vocali in corso, incluse quelle di emergenza, e, in determinate circostanze, determinare condizioni persistenti di indisponibilità del servizio con conseguenti riavvii ripetuti del dispositivo.

Prodotti e/o versioni affette

• Android 14, 15, 16, 16-qpr2, 17 con patch di sicurezza precedenti a novembre 2026

Azioni di mitigazione

In linea con le indicazioni del vendor, si raccomanda di applicare tempestivamente gli aggiornamenti di sicurezza Android distribuiti dal produttore del dispositivo o tramite Google Play System Updates.