Aggiornamento Android di settembre 2026: 180 falle corrette e uno zero-day sfruttato sui Pixel, ecco cosa fare

Il bollettino di sicurezza Android di settembre 2026 corregge 180 vulnerabilità, tra cui una falla critica nel Wi-Fi e uno zero-day nel modem dei Pixel già sfruttato in attacchi mirati: ecco cosa sapere e come proteggersi.

Sep 18, 2026 0 3

Aggiornamento Android di settembre 2026: 180 falle corrette e uno zero-day sfruttato sui Pixel, ecco cosa fare

A metà settembre 2026 Google ha pubblicato uno dei bollettini di sicurezza più corposi degli ultimi mesi per Android: 180 vulnerabilità corrette, distribuite su due livelli di patch, e almeno una di queste già utilizzata in attacchi reali contro i possessori di smartphone Google Pixel. Se avete un telefono Android, questa è una di quelle volte in cui vale la pena installare l'aggiornamento appena disponibile, invece di rimandarlo alla prossima occasione utile.

Vediamo con calma di cosa si tratta, perché riguarda praticamente tutti i modelli Android in commercio (non solo i Pixel) e quali passi concreti conviene fare subito.

Cos'è un "bollettino di sicurezza" e perché conta

Ogni mese Google pubblica un bollettino di sicurezza Android, cioè un elenco ufficiale dei bug scoperti nel sistema operativo e già corretti nella versione più recente. Ogni falla viene classificata con un codice universale chiamato CVE (Common Vulnerabilities and Exposures), un identificativo che permette a chiunque - ricercatori, produttori, utenti - di parlare della stessa vulnerabilità senza ambiguità.

Le patch di settembre 2026 sono arrivate in due tranche, identificate dalla data del livello di sicurezza che si può vedere nelle impostazioni del telefono:

Livello 2026-09-01: 95 vulnerabilità relative al runtime Android, al Framework, al System, alla procedura di configurazione iniziale (Setup Wizard) e ai componenti di Project Mainline, gli stessi su tutti i produttori.
Livello 2026-09-05: 85 vulnerabilità nel kernel e nei componenti forniti dai singoli produttori di chip, tra cui Arm, Imagination Technologies, MediaTek, Qualcomm, Unisoc e Tsingteng Micro.

La falla più critica: il Wi-Fi come porta d'ingresso

Tra le decine di problemi corretti, uno spicca per gravità: CVE-2026-28662, una vulnerabilità di corruzione della memoria legata al sottosistema Wi-Fi. In pratica, un difetto nel modo in cui il telefono gestisce alcuni dati di rete può permettere a un malintenzionato di eseguire codice arbitrario sul dispositivo senza bisogno di privilegi aggiuntivi e senza alcuna interazione da parte della vittima - non serve cliccare su nulla, basta essere nel raggio della rete giusta.

Il componente System di Android è quello che ha ricevuto più correzioni critiche: Google conta 23 falle di gravità critica capaci di causare esecuzione di codice da remoto, innalzamento dei privilegi (cioè un'app o un processo che ottiene più permessi di quanti dovrebbe avere) o blocchi del sistema (denial-of-service). Tra queste rientrano anche CVE-2026-28604, CVE-2026-28618 e CVE-2026-28639, mentre nel Framework sono state corrette ulteriori falle critiche come CVE-2026-28666 e CVE-2026-28609, oltre a un problema di escalation dei privilegi (CVE-2026-55273). Nel kernel è stata chiusa anche CVE-2026-52993, legata al meccanismo di comunicazione tra processi (IPC).

Le correzioni riguardano le versioni Android 14, 15, 16 e, a seconda del singolo problema, anche le release più recenti come 16 QPR2 e la futura Android 17: non è quindi un problema limitato a un solo modello o produttore.

Il caso Pixel: uno zero-day già sfruttato negli attacchi

La parte più delicata della vicenda riguarda però i telefoni Google Pixel. Insieme al bollettino generale, Google ha reso noto un problema separato, CVE-2026-58704, individuato nel modem dei Pixel, cioè il componente hardware/software che gestisce la connessione alla rete cellulare.

Si tratta di uno zero-day: un termine usato per indicare una vulnerabilità che viene scoperta - e in questo caso sfruttata da qualcuno - prima ancora che il produttore abbia avuto il tempo di correggerla e distribuire una patch (da qui il nome: "zero giorni" di preavviso). Google ha confermato che la falla potrebbe essere stata soggetta a "sfruttamento limitato e mirato", cioè utilizzata in attacchi indirizzati contro bersagli specifici piuttosto che diffusi su larga scala.

Un dettaglio che rende la cosa ancora più delicata: il bug permetterebbe un attacco di tipo "zero-click". Significa che la vittima non deve aprire alcun link, scaricare alcun file o compiere alcuna azione: la sola connessione alla rete cellulare può bastare a esporre il dispositivo. Google non ha reso noto chi ci sia dietro questi attacchi, ma questo tipo di vulnerabilità - come segnalato da diverse testate di sicurezza - viene tipicamente sfruttato da fornitori di software di sorveglianza che vendono i propri strumenti a governi e forze dell'ordine, per colpire obiettivi selezionati come giornalisti, attivisti o dissidenti.

Cosa fare, in pratica

La buona notizia è che la falla sui Pixel risulta già corretta nell'aggiornamento di settembre. Ecco i passi consigliati per chiunque usi uno smartphone Android:

Controllate il livello di patch installato: andate in Impostazioni > Informazioni sul telefono > Versione Android (il percorso può variare leggermente da un produttore all'altro) e verificate la data del livello di sicurezza.
Installate l'aggiornamento non appena disponibile, senza aspettare il prossimo ciclo di manutenzione pianificato: dato il numero e la gravità delle falle corrette, in questo caso conviene non rimandare.
Se avete un Pixel, l'aggiornamento è particolarmente importante viste le prove di sfruttamento attivo: verificate che il dispositivo abbia scaricato e installato la patch di settembre.
Attivate gli aggiornamenti automatici, quando possibile, così da ridurre il tempo di esposizione tra la pubblicazione di una patch e la sua effettiva installazione.
Se possedete dispositivi Samsung, ricordate che il produttore distribuisce un proprio bollettino aggiuntivo: quello di settembre 2026 include 18 vulnerabilità classificate come critiche, corrette con lo stesso ciclo di aggiornamento mensile.

Perché conviene prestare attenzione anche se "non si è un bersaglio"

È comprensibile pensare che uno zero-day "mirato" non riguardi l'utente comune, e in un certo senso è vero: gli attacchi mirati colpiscono un numero ristretto di persone. Ma le altre 179 vulnerabilità corrette nello stesso bollettino - inclusa quella legata al Wi-Fi che non richiede alcuna interazione dell'utente - rappresentano un rischio più generale, perché una volta reso pubblico il dettaglio tecnico di una falla (come avviene fisiologicamente quando viene pubblicata una patch), è solo questione di tempo prima che gruppi criminali meno sofisticati imparino a sfruttarla su chiunque non abbia ancora aggiornato il telefono. È lo stesso motivo per cui anche a settembre Microsoft ha dovuto rilasciare più aggiornamenti d'emergenza per Windows nello stesso periodo: mantenere il sistema aggiornato resta, ancora oggi, la difesa più semplice ed efficace a disposizione di chiunque.