GhostMap manda Android in boot loop senza aprire l’app: Google non corregge la vulnerabilità

🛡️ Executive Summary

• GhostMap può rendere inutilizzabile uno smartphone Android senza eseguire codice malevolo. Un’applicazione appositamente manipolata, priva di permessi, può provocare il crash ripetuto di system_server semplicemente dopo l’installazione.
• Bitdefender riproduce il problema su Pixel 10 con Android 17. La vulnerabilità coinvolge il trattamento degli archivi APK e viene riprodotta dai ricercatori anche su versioni Android a partire dalla 10. Il ripristino può richiedere un reset completo con perdita dei dati locali.
• Google non rilascia una patch dopo due segnalazioni. Secondo Bitdefender, la prima comunicazione viene chiusa come non riproducibile e la seconda classificata fuori dal perimetro degli aggiornamenti di sicurezza, nonostante una dimostrazione del blocco persistente.
• Non risultano attacchi reali che sfruttino il boot loop GhostMap. Il campione bancario che ha avviato l’indagine provocava un errore durante l’installazione; gli scenari più gravi derivano dalle successive prove controllate del laboratorio.

GhostMap è una vulnerabilità di Android che permette di rendere inutilizzabile uno smartphone attraverso la semplice installazione di un’applicazione manipolata, senza autorizzazioni, senza codice eseguibile e senza che l’utente debba aprirla. La scoperta arriva da Bitdefender Labs, che dimostra come un errore nella gestione degli archivi APK possa provocare il crash ripetuto di system_server, componente fondamentale del sistema operativo. Il risultato è un boot loop persistente che impedisce l’avvio del telefono e resiste anche alla modalità provvisoria. La ricerca, pubblicata il 5 novembre 2026, documenta il problema su Pixel 10 con Android 17 e ricostruisce due segnalazioni inviate a Google senza ottenere una patch di sicurezza. Gli scenari più gravi sono stati riprodotti in laboratorio, ma non risultano attacchi reali che abbiano sfruttato GhostMap per bloccare gli smartphone.

GhostMap sfrutta due librerie Android che interpretano diversamente gli APK

L’indagine comincia il 12 agosto, quando un dropper bancario Android raccolto in circolazione provoca il blocco degli emulatori utilizzati da Bitdefender. Il campione, protetto da un packer che altera la struttura degli APK per ostacolarne l’analisi, conduce i ricercatori a individuare una vulnerabilità nel sistema operativo. La causa riguarda due librerie, libziparchive e libandroidfw, che interpretano diversamente le informazioni sulla compressione dei file. La prima verifica determinate dimensioni soltanto quando un elemento è identificato come Stored, mentre la seconda considera non compressi tutti gli elementi che non risultano esplicitamente Deflated. Un APK con metadati incoerenti può quindi superare il primo controllo e indurre Android a mappare una regione di memoria superiore al contenuto effettivo del file. Quando un processo tenta di leggerla, il kernel genera un segnale SIGBUS che ne interrompe l’esecuzione. Nei test, un APK di appena 8.408 byte determina una mappatura di circa 16 MB. Il difetto non permette direttamente di eseguire codice o sottrarre dati: provoca un denial of service attraverso una lettura non valida.

Leggi anche: Trojan Android Anatsa elude la sicurezza di Google Play e si diffonde in Europa

Un APK senza permessi manda system_server in un ciclo infinito di crash

Bitdefender scopre che alcune risorse delle applicazioni vengono elaborate automaticamente dai servizi Android dopo l’installazione. Manipolando una di queste risorse, i ricercatori provocano il crash di system_server senza avviare l’applicazione. Android tenta di riavviare il servizio, ma incontra nuovamente il file difettoso e ripete l’errore, lasciando il dispositivo bloccato sull’animazione iniziale. Sul Pixel 10 con Android 17 e patch del 5 agosto 2026, il primo crash arriva circa un secondo dopo l’installazione. Una sessione registra 110 riavvii consecutivi, mentre la modalità provvisoria produce altri 72 cicli senza consentire l’accesso al sistema. La vulnerabilità viene riprodotta anche su versioni Android dalla 10 in avanti, pur senza dimostrare che ogni dispositivo presenti condizioni identiche. Il recupero può richiedere un ripristino di fabbrica, con cancellazione dei dati locali. Un’alternativa attraverso ADB è praticabile soltanto in condizioni limitate, se il debug USB era già stato abilitato e la rimozione del file riesce prima del crash successivo. Dopo un riavvio completo anche questa possibilità può diventare impraticabile.

Google riceve due segnalazioni ma non pubblica una patch per GhostMap

Il 20 agosto 2026, Bitdefender segnala il problema attraverso l’Android & Devices Vulnerability Reward Program. Secondo i ricercatori, Google chiude la comunicazione con la classificazione Won’t Fix (Not Reproducible). Il 25 agosto arriva una seconda segnalazione, accompagnata da una dimostrazione del boot loop persistente e dalle istruzioni necessarie a riprodurlo. Google, sempre secondo la ricostruzione del laboratorio, considera il problema fuori dal perimetro degli aggiornamenti di sicurezza, pur inoltrandolo al gruppo competente per una possibile correzione futura. Al 5 novembre non risulta disponibile una patch. Bitdefender richiama inoltre il precedente CVE-2016-6724, una vulnerabilità Android corretta nel 2016 che provocava riavvii continui e poteva richiedere un ripristino del dispositivo. Il confronto solleva interrogativi sulla classificazione dei problemi di disponibilità persistente, ma GhostMap non dispone nel rapporto di un identificativo CVE pubblico. La società precisa che la propria ricostruzione riflette le comunicazioni ricevute e non descrive i processi decisionali interni di Google.

Continua con:

Centinaia di app malevole su Google Play eludono la sicurezza di Android 13

LineageOS rafforza il sideloading su Android con nuove regole di verifica

Come difendersi da GhostMap e perché il problema riguarda anche gli antivirus

Oltre al boot loop, GhostMap può teoricamente ostacolare la disinstallazione di un’applicazione manipolata: se il file difettoso riguarda l’icona, launcher e impostazioni possono interrompersi quando tentano di visualizzarla. Anche gli strumenti antivirus che utilizzano le librerie Android interessate possono bloccarsi durante l’analisi dell’APK. Si tratta di possibilità tecniche, non di campagne criminali già osservate. In assenza di una correzione, la difesa più utile consiste nell’individuare i file manipolati prima dell’installazione. Bitdefender dichiara che Mobile Security riconosce la struttura anomala, ma le applicazioni di sicurezza di terze parti non possono sempre bloccare autonomamente l’installazione. Resta quindi importante evitare APK provenienti da fonti non affidabili e mantenere backup aggiornati, considerando che un reset potrebbe cancellare i dati locali. La vulnerabilità appartiene alla stessa famiglia di problemi di interpretazione degli archivi già emersa con Master Key, Janus e BadPack, ma presenta una conseguenza differente: Android può diventare inutilizzabile senza che l’applicazione abbia ottenuto privilegi o eseguito una sola istruzione malevola.