Quando il 2 marzo 2026 ho letto l’Android Security Bulletin di marzo, ho capito subito che non si trattava del solito bollettino mensile. Tra le 129 vulnerabilità corrette, una in particolare ha attirato la mia attenzione: la CVE-2026-21385, uno zero-day Qualcomm già attivamente sfruttato in attacchi mirati. Una falla di memory corruption nel componente grafico/display che colpisce 235 chipset Qualcomm — parliamo di centinaia di milioni di dispositivi Android nel mondo.
Nella mia esperienza di system administrator, quando una CVE viene aggiunta al catalogo KEV del CISA il giorno dopo la divulgazione — come è successo il 3 marzo — con scadenza fissata al 24 marzo 2026, significa che la minaccia è concreta e che ogni giorno di ritardo nell’aggiornamento aumenta l’esposizione. Ho già affrontato il tema della sicurezza Android nel mio articolo sulle patch di sicurezza Android di marzo 2026, ma in questa guida voglio approfondire specificamente la CVE-2026-21385: cos’è tecnicamente, quali dispositivi sono a rischio e come verificare e applicare il patch level corretto.
Se gestite dispositivi Android in ambito aziendale — o semplicemente volete proteggere il vostro smartphone personale — questo articolo è per voi. Vi mostro passo-passo cosa fare, con la stessa urgenza con cui ho applicato queste misure sui dispositivi che gestisco.
CVE-2026-21385: Analisi Tecnica dello Zero-Day Qualcomm
Partiamo dal capire cosa rende questa vulnerabilità così pericolosa. La CVE-2026-21385 è classificata come una falla di tipo integer overflow or wraparound (CWE-190) nel sottocomponente Display dei chipset Qualcomm. In termini più semplici, si tratta di un errore nella gestione degli allineamenti durante l’allocazione della memoria nel driver GPU Adreno.
Qualcomm ha descritto il bug come “memory corruption while using alignments for memory allocation”. In pratica, il driver grafico può calcolare in modo errato la dimensione dei buffer di memoria, permettendo a un attaccante di provocare un overflow controllato in aree di memoria ristrette. Il risultato? Corruzione della memoria a livello profondo del sistema.
Score CVSS e vettore d’attacco
La vulnerabilità ha ricevuto un punteggio CVSS di 7.8 (High severity). Il vettore d’attacco è locale, il che significa che l’attaccante necessita di un qualche tipo di accesso locale al dispositivo — ad esempio tramite un’app malevola installata o sfruttando un’altra vulnerabilità per ottenere un punto d’appoggio iniziale. Non è richiesta interazione da parte dell’utente e bastano privilegi bassi per sfruttarla.
In uno scenario reale, questo tipo di falla viene tipicamente utilizzato come anello di una catena di exploit: un attaccante ottiene prima un accesso limitato al dispositivo, poi usa la CVE-2026-21385 per scalare i privilegi, uscire dalla sandbox e ottenere il controllo completo del sistema. Secondo gli esperti di Dark Reading, l’attività di sfruttamento potrebbe essere legata a operazioni di spyware commerciale o gruppi state-sponsored.
Timeline della vulnerabilità
- 18 dicembre 2025: Google Android Security team segnala la falla a Qualcomm
- 2 febbraio 2026: Qualcomm notifica i propri clienti (OEM)
- Gennaio 2026: Qualcomm rende disponibili le fix ai clienti
- 2 marzo 2026: Pubblicazione dell’Android Security Bulletin di marzo e del record NVD
- 3 marzo 2026: CISA aggiunge la CVE al catalogo KEV con deadline 24 marzo
Quali Dispositivi Sono Colpiti: I 235 Chipset Qualcomm Vulnerabili
L’impatto di questa vulnerabilità è enorme. Qualcomm ha confermato che la falla interessa 235 modelli di chipset diversi — non solo smartphone, ma anche piattaforme per automotive, IoT, wearable e embedded. In base alle quote di mercato di Android e dei chipset Qualcomm, è ragionevole stimare che centinaia di milioni di dispositivi nel mondo siano potenzialmente esposti.
Tra i chipset colpiti troviamo le principali famiglie Snapdragon:
- Snapdragon 8 Gen 1/2/3 e serie Elite (flagship recenti)
- Snapdragon 7 Gen series (fascia medio-alta)
- Snapdragon 6 Gen series (fascia media)
- Snapdragon 4 Gen series (fascia entry-level)
- Piattaforme QCM/QCS per IoT e dispositivi embedded
- Piattaforme QAM per automotive (LeMansAU, C-V2X 9150)
- Chipset FastConnect (6200, 6700, 6800, 6900, 7800)
- Piattaforme IQ Series (IQ6, IQ8, IQ9) e Flight RB5 5G
La lista completa è consultabile nel bollettino di sicurezza Qualcomm di marzo 2026.
Come Verificare se il Tuo Dispositivo Android è Vulnerabile
Ecco la procedura che ho seguito per controllare i dispositivi che gestisco. È semplice e alla portata di tutti:
Step 1: Identificare il chipset del dispositivo
- Apri Impostazioni > Informazioni sul telefono (o “Info dispositivo”)
- Cerca le voci “Processore”, “Chipset” o “SoC”
- Nomi come Snapdragon 8 Gen 2, Snapdragon 778G o codici Qualcomm SM8xxx/SM7xxx indicano un chipset Qualcomm potenzialmente nella famiglia colpita
Step 2: Verificare il livello delle patch di sicurezza
- Vai su Impostazioni > Informazioni sul telefono > Versione Android
- Cerca la voce “Livello patch di sicurezza Android” (o Android security patch level)
- Se la data è 2026-03-05 o successiva, il dispositivo è protetto
- Se la data è precedente, il dispositivo è potenzialmente vulnerabile
È importante capire che il livello 2026-03-01 copre le vulnerabilità del Framework e System, ma non include la fix per la CVE-2026-21385. Serve il livello 2026-03-05, che comprende le patch per i componenti Kernel e vendor di terze parti, inclusi quelli Qualcomm.
Step 3: Applicare l’aggiornamento
- Vai su Impostazioni > Sistema > Aggiornamento di sistema
- Cerca aggiornamenti disponibili e installa quelli in sospeso
- Se non trovi aggiornamenti, contatta il produttore del dispositivo
I dispositivi Google Pixel ricevono gli aggiornamenti per primi. Per gli altri OEM (Samsung, OnePlus, Xiaomi, ecc.), i tempi di distribuzione possono variare da giorni a mesi — e questo è il vero problema, come ho evidenziato anche nel mio articolo sulla Desktop Mode di Android 16 nel March Pixel Drop 2026.
Le Altre Vulnerabilità Critiche del Bollettino di Marzo 2026
La CVE-2026-21385 non è l’unica falla grave di questo mese. L’Android Security Bulletin di marzo 2026 include anche:
- CVE-2026-0006 (CVSS 9.8) — Remote Code Execution critica nel componente System, sfruttabile senza privilegi e senza interazione utente. Questa è la falla più grave del bollettino ed è legata al componente Media Codecs Mainline, aggiornabile tramite Google Play System Updates
- CVE-2026-0047 (CVSS 8.8) — Elevation of Privilege critica nel Framework, escalation locale senza privilegi extra
- CVE-2025-48631 (CVSS 8.6) — Denial of Service critica nel System, colpisce Android 14, 15, 16 e 16-QPR2
- CVE-2026-0037, CVE-2026-0027, CVE-2026-0028, CVE-2026-0030 (CVSS 9.0) — Multiple Elevation of Privilege critiche nel sottosistema pKVM (Protected Kernel-Based Virtual Machine) del Kernel
- CVE-2026-0038 (CVSS 9.0) — Elevation of Privilege critica nell’Hypervisor, potenziale fuga dalla VM
Il Framework da solo conta più di 30 CVE, la maggior parte delle quali sono falle di elevation of privilege classificate High. Questo bollettino di marzo è il più corposo dal 2018 in termini di numero di vulnerabilità corrette.
Proteggere i Chipset Qualcomm in Ambienti Enterprise: Guida Prioritaria
Se gestite una flotta di dispositivi mobili in azienda, ecco la checklist che ho seguito io — e che vi consiglio di adottare immediatamente:
Inventario e triage
- Mappare tutti i dispositivi Android con chipset Qualcomm tramite il vostro MDM (Mobile Device Management)
- Verificare il patch level di ogni dispositivo — qualsiasi cosa sotto 2026-03-05 è esposta
- Prioritizzare gli utenti ad alto rischio: dirigenti, IT admin, personale con accesso a dati sensibili
- Documentare la compliance con timestamp e metadata raccolti centralmente
Azioni di mitigazione immediate
- Forzare gli aggiornamenti OTA tramite policy MDM dove possibile
- Implementare controlli di accesso più restrittivi per dispositivi non aggiornati
- Disabilitare interfacce debug/test non necessarie
- Verificare le app installate e rimuovere quelle sospette o non autorizzate — come spiego in dettaglio nella mia guida ai permessi delle app Android
- Segmentare i dispositivi non patchati dalla rete aziendale principale
- Limitare l’accesso a risorse sensibili (email, VPN, app aziendali) da dispositivi con patch level obsoleto
Come ha sottolineato Adam Boynton di Jamf, in ambito enterprise il gap tra il rilascio della patch da parte di Google e la sua effettiva distribuzione sui dispositivi può estendersi da giorni a mesi. In quella finestra temporale la vulnerabilità è pubblica e il dispositivo è esposto. Chi tratta il mobile come superficie d’attacco secondaria finirà nei report degli incidenti.
Il Problema del Lag degli OEM e Come Gestirlo
Questo è forse l’aspetto più frustrante delle vulnerabilità Android: non è Google il collo di bottiglia, sono gli OEM e i carrier. Google rilascia le patch, Qualcomm distribuisce le fix ai produttori, ma poi sono Samsung, Xiaomi, OnePlus, Motorola e gli altri a decidere quando (e se) distribuirle agli utenti finali.
All’inizio della mia carriera nella gestione di flotte mobili aziendali, pensavo bastasse dire “aggiornate il telefono”. Poi ho capito che serve un approccio diverso:
- Standardizzare i dispositivi aziendali su modelli con track record di aggiornamenti rapidi (Pixel, Samsung Galaxy serie S ed A recenti)
- Definire policy di compliance che blocchino l’accesso alle risorse aziendali per dispositivi non aggiornati entro X giorni dalla pubblicazione del bollettino
- Monitorare con il vostro MDM il patch level in tempo reale e generare alert automatici
- Preparare comunicazioni interne che spieghino all’utente finale perché aggiornare è urgente — senza tecnicismi ma con chiarezza
L’impatto va oltre il singolo dispositivo. Come ho evidenziato anche nel mio articolo sul malware Keenadu preinstallato nel firmware, la sicurezza Android richiede un approccio proattivo e multi-livello che non può dipendere solo dalla tempestività degli OEM.
Confronto con Precedenti Zero-Day Android Qualcomm
Vale la pena contestualizzare questa vulnerabilità. A dicembre 2025, Google aveva già corretto due zero-day high-severity (CVE-2025-48633 e CVE-2025-48572), entrambi etichettati come “under limited, targeted exploitation”. Il pattern è chiaro: le vulnerabilità nei componenti Qualcomm a basso livello — GPU, display driver, kernel — sono bersagli preferiti per attacchi mirati, probabilmente da parte di gruppi che sviluppano spyware commerciale.
Con il malware Android cresciuto del 151% nella prima metà del 2025, e il 2025 che è stato un anno record per le vulnerabilità di sicurezza informatica, il margine per il patching ritardato si restringe sempre di più. Se vi interessa la sicurezza più ampia del vostro ecosistema IT, vi consiglio di leggere anche il mio articolo su come ho gestito le 6 zero-day critiche del Windows Update di febbraio 2026.
FAQ
Cos’è la CVE-2026-21385 e perché è considerata uno zero-day?
La CVE-2026-21385 è una vulnerabilità di memory corruption di tipo integer overflow nel componente grafico/display di 235 chipset Qualcomm, con punteggio CVSS 7.8. È classificata come zero-day perché Google ha confermato che era già sfruttata attivamente in attacchi mirati prima che la patch fosse disponibile agli utenti finali. Il CISA l’ha aggiunta al catalogo KEV con deadline di remediation al 24 marzo 2026.
Come verifico se il mio smartphone ha il patch level corretto per essere protetto?
Vai su Impostazioni > Informazioni sul telefono > Versione Android e controlla la voce “Livello patch di sicurezza Android”. Se mostra 2026-03-05 o una data successiva, sei protetto dalla CVE-2026-21385 e da tutte le 129 vulnerabilità del bollettino di marzo 2026. Il livello 2026-03-01 non è sufficiente perché non include le fix per i componenti vendor Qualcomm.
Il mio dispositivo non ha ancora ricevuto l’aggiornamento di marzo 2026. Cosa posso fare nel frattempo?
Controlla manualmente la disponibilità degli aggiornamenti in Impostazioni > Sistema > Aggiornamento di sistema. Se non è ancora disponibile, riduci il rischio evitando di installare app da fonti non ufficiali, verificando i permessi delle app installate, e disabilitando il debug USB. In ambito aziendale, considerate di limitare l’accesso a risorse sensibili per dispositivi non patchati tramite il vostro MDM.
Quali sono le altre vulnerabilità critiche del bollettino Android di marzo 2026?
Oltre alla CVE-2026-21385, le più gravi sono: CVE-2026-0006 (CVSS 9.8), una falla di Remote Code Execution nel System sfruttabile senza privilegi e senza interazione utente; CVE-2026-0047 (CVSS 8.8), un’Elevation of Privilege critica nel Framework; e una serie di falle critiche (CVSS 9.0) nel sottosistema pKVM del Kernel che consentono di violare l’isolamento delle macchine virtuali.
Solo gli smartphone sono colpiti dalla CVE-2026-21385?
No. La vulnerabilità interessa 235 chipset Qualcomm utilizzati in smartphone, piattaforme automotive (come LeMansAU e C-V2X), dispositivi IoT, wearable e sistemi embedded. Qualsiasi dispositivo basato su un chipset Qualcomm nella lista delle piattaforme colpite è potenzialmente vulnerabile, indipendentemente dalla categoria del dispositivo.
Conclusione: La CVE-2026-21385 Richiede Azione Immediata
La CVE-2026-21385 non è una vulnerabilità da ignorare o rimandare. Con 235 chipset Qualcomm colpiti, sfruttamento attivo confermato, inserimento nel catalogo KEV del CISA e deadline al 24 marzo 2026, ogni giorno senza il patch level 2026-03-05 è un giorno di esposizione concreta.
Nella mia esperienza, la sicurezza mobile non può più essere trattata come un “nice to have”. Chi amministra flotte di dispositivi Android deve poter dimostrare — non solo promettere — che i dispositivi sono patchati. E chi usa uno smartphone personale con chipset Qualcomm deve verificare immediatamente il proprio livello di patch di sicurezza.
Se avete domande su come implementare queste misure nella vostra organizzazione, o volete condividere la vostra esperienza con gli aggiornamenti OEM, scrivetemi nei commenti. E se non l’avete ancora letto, vi consiglio il mio articolo completo sulle patch di sicurezza Android di marzo 2026 per una panoramica più ampia di tutte le 129 vulnerabilità corrette.