Samsung corregge 20 falle critiche sui Galaxy con le patch di novembre 2026

🛡️ Executive Summary

• 20 vulnerabilità critiche: Samsung integra le correzioni Android di Google nel bollettino di sicurezza SMR-NOV-2026 pubblicato il 3 novembre.
• 24 falle Samsung: 17 vulnerabilità SVE sono descritte pubblicamente, comprese tre ad alta gravità che interessano bootloader, fotocamera e librerie di sistema.
• Aggiornamenti in Italia: la distribuzione delle patch dipende da modello e regione; la pubblicazione del bollettino non garantisce la disponibilità immediata del firmware.

Samsung ha pubblicato il 3 novembre 2026 il bollettino SMR-NOV-2026, il documento che definisce le correzioni di sicurezza destinate agli smartphone Galaxy supportati. Il pacchetto comprende 20 vulnerabilità Android classificate critiche, quattro correzioni per componenti Samsung Semiconductor e 24 voci Samsung Vulnerabilities and Exposures (SVE), delle quali soltanto 17 sono descritte pubblicamente. Le falle riguardano anche bootloader, fotocamera, librerie multimediali, chiamate e controlli dei privilegi, con scenari di attacco differenti. Per gli utenti italiani, però, la pubblicazione del bollettino non equivale al rilascio immediato su tutti i modelli: Samsung precisa che la distribuzione dipende da dispositivo, regione e calendario degli aggiornamenti.

Il bollettino di novembre separa le falle Android da quelle Samsung

La versione 1.0 del bollettino ufficiale Samsung Mobile Security porta la data del 3 novembre 2026 e riunisce tre livelli di intervento: le vulnerabilità affrontate attraverso le patch Android di Google, i problemi dei componenti forniti da Samsung Semiconductor e le falle individuate nelle implementazioni software specifiche dei Galaxy. È una distinzione necessaria per interpretare correttamente i numeri. Le 24 SVE non rappresentano 24 vulnerabilità critiche, perché tre delle 17 descritte sono classificate High e quattordici Moderate. Inoltre, il produttore avverte che alcune voci potrebbero essere già state corrette in precedenti aggiornamenti e che non tutte le CVE Android si applicano ai suoi dispositivi. Il totale delle voci pubblicate, quindi, non va trasformato senza verifiche nel numero di falle sfruttabili su ogni telefono. La differenza rispetto alle patch di settembre è sia quantitativa sia tecnica: novembre concentra numerose correzioni Android e interviene su componenti Samsung che gestiscono memoria, autorizzazioni e funzioni sensibili.

Leggi anche: Samsung corregge 90 vulnerabilità e accelera One UI 9 su Galaxy S25 e A55

Le 20 vulnerabilità Android critiche non indicano venti attacchi in corso

La sezione Google del documento elenca 20 CVE Critical, fra cui CVE-2026-20545, CVE-2026-20546, CVE-2026-20547, CVE-2026-25285, CVE-2026-58814 e CVE-2026-89774. A queste si aggiunge un elenco molto più ampio di vulnerabilità High e una voce Moderate, CVE-2026-80013. La classificazione di gravità segnala il potenziale impatto tecnico in determinate condizioni, ma non dimostra che una falla sia sfruttata in attacchi reali. Il bollettino Samsung non attribuisce alle venti CVE critiche campagne operative, vittime italiane o compromissioni confermate. Sarebbe quindi improprio presentare il pacchetto come la risposta a venti zero-day sfruttati attivamente. Per stabilire il rischio concreto servono dettagli sul componente interessato, sui prerequisiti dell’attaccante e sulle versioni vulnerabili, che variano da CVE a CVE. Il dato rilevante per i possessori di Galaxy è che la manutenzione mensile integra correzioni del sistema operativo con quelle del produttore: un telefono non aggiornato conserva potenzialmente più superfici d’attacco, anche quando nessun incidente pubblico è stato associato alla singola vulnerabilità.

Bootloader, fotocamera e librerie: tre falle Samsung ad alta gravità

Fra le SVE pubblicamente descritte, la CVE-2026-21155 interessa il bootloader su Android 14, 15, 16 e 17: una scrittura fuori dai limiti della memoria può essere provocata da un aggressore con accesso fisico al dispositivo. È una condizione sostanzialmente diversa da un’intrusione remota, ma resta significativa perché il bootloader partecipa alle fasi iniziali di avvio. La CVE-2026-21152 riguarda invece la libreria libMyFilterPlugin.camera.samsung.so: la validazione insufficiente dell’input può consentire a un attaccante locale di eseguire codice arbitrario, purché si verifichi anche un’interazione dell’utente. Infine, la CVE-2026-21153 colpisce libsecuibc.so con un overflow dello stack che permette l’esecuzione di codice da parte di attaccanti locali. Samsung indica per questi problemi correzioni basate sulla validazione degli input. Sono tre scenari differenti, accomunati dalla possibilità di superare i confini previsti dal software; nessuno, da solo, autorizza ad affermare che qualunque Galaxy possa essere violato a distanza senza autenticazione. Anche le compromissioni dimostrate al Pwn2Own Ireland sul Galaxy S26 costituiscono un precedente distinto, senza un collegamento tecnico dimostrato con queste tre CVE.

Chiamate, messaggi e privilegi mostrano il rischio delle funzioni quotidiane

Le quattordici SVE Moderate pubblicamente descritte illustrano una superficie spesso sottovalutata: le applicazioni e i servizi utilizzati ogni giorno. In Samsung Dialer, la CVE-2026-21141 consente a un attaccante locale di accedere a informazioni sensibili a causa di controlli di accesso insufficienti. Diverse falle in Samsung Contacts, da CVE-2026-21143 a CVE-2026-21147, riguardano widget e componenti capaci di avviare chiamate senza i permessi appropriati; Samsung interviene rimuovendo codice non necessario o aggiungendo controlli di autorizzazione. La CVE-2026-21148 espone informazioni in Samsung Messages, mentre la CVE-2026-21149 interessa l’accesso ad API privilegiate di StatusBarManagerService. Più delicata, per le condizioni richieste, è la CVE-2026-21158, che può consentire a un attaccante locale già privilegiato di aggirare il blocco SIM attraverso una validazione errata dei certificati. Un altro problema, CVE-2026-21151, permette in specifiche condizioni l’esecuzione di codice con i privilegi del launcher. Si tratta di possibili violazioni dei confini di autorizzazione, non di prove che messaggi, rubrica o schede SIM siano già stati compromessi su larga scala.

Le patch dei semiconduttori e le falle non ancora rese pubbliche

Il livello hardware e firmware entra nel bollettino attraverso quattro CVE di gravità High associate a Samsung Semiconductor: CVE-2026-58704, CVE-2026-68984, CVE-2026-68994 e CVE-2026-69050. La prima era già emersa nel contesto degli aggiornamenti di sicurezza Pixel di settembre, ma la sua comparsa nel pacchetto Samsung di novembre non dimostra che i due produttori abbiano avuto identici dispositivi vulnerabili o uguali tempi di mitigazione. L’effettiva applicabilità di una correzione dipende dai componenti presenti nel modello. Inoltre, il bollettino dichiara 24 SVE ma ne dettaglia soltanto 17: sette restano senza descrizione tecnica pubblica. La mancata divulgazione non prova né uno sfruttamento attivo né un rischio trascurabile. Significa che i lettori non dispongono ancora delle informazioni necessarie per valutarne autonomamente modalità d’attacco e conseguenze. Samsung ricorda infine che alcune patch provenienti dai fornitori di chipset potrebbero essere distribuite in rilasci successivi.

Continua con:

Samsung, One UI 9 su A55 e XCover: nuove patch per S26 e Fold 8

Cosa devono controllare gli utenti Galaxy in Italia

Per l’Italia il punto decisivo è il calendario reale. Samsung non pubblica nel bollettino un elenco di tutti i Galaxy già aggiornati nel mercato italiano e precisa che i tempi cambiano per regione e modello; il pacchetto è inizialmente presentato come manutenzione per i principali flagship, non come prova della disponibilità simultanea su ogni Galaxy. Chi utilizza uno smartphone supportato può cercare l’aggiornamento nelle Impostazioni, alla voce Aggiornamento software, e controllare nelle informazioni software il livello della patch di sicurezza e l’indice Samsung Security Index, quando visualizzato. L’installazione di una nuova versione di One UI non equivale necessariamente a un rilascio nello stesso giorno per tutte le varianti europee: gli aggiornamenti possono arrivare per fasi e contenere correzioni già integrate in build precedenti. L’espansione europea di One UI 9 su Galaxy A36, Fold 5 e Flip 5 mostra la necessità di distinguere gli annunci generali dalla disponibilità effettiva dei firmware. Per utenti professionali, amministratori IT e aziende che gestiscono flotte Galaxy, la priorità è verificare il livello effettivo di patch per ogni dispositivo, individuare i modelli fuori supporto e non confondere la disponibilità di un advisory con la bonifica completata. Novembre porta correzioni importanti, ma la protezione si misura sul firmware installato, non sulla data del comunicato.