Falla zero-click su Android, anche Linux sotto attacco: CISA lancia l'allarme

La Cybersecurity and Infrastructure Security Agency degli Stati Uniti ha inserito due nuove vulnerabilità nel suo registro delle minacce attive, consultabile direttamente sul portale ufficiale di CISA. Si tratta di falle di sicurezza che colpiscono direttamente il sistema operativo Android e il kernel Linux, per le quali sono già stati rilevati attacchi attivi sul campo.

La prima vulnerabilità aggiunta, identificata come CVE-2025-48595, è un problema di integer overflow ad alta gravità localizzato nell'Android Framework. Questa falla consente di ottenere un'escalation dei privilegi sul dispositivo mobile. Secondo quanto riportato dall'ultimo bollettino di sicurezza di Google, la vulnerabilità interessa le versioni di Android da 14 a 16 e non richiede alcuna interazione da parte dell'utente per essere sfruttata, configurandosi come un temibile attacco zero-click.

CISA avverte: nuove vulnerabilità scoperte su Android e Linux

Sebbene Google abbia confermato che la falla è attualmente oggetto di uno sfruttamento mirato e limitato in scenari reali, non sono stati diffusi ulteriori dettagli tecnici o informazioni specifiche sugli incidenti correlati. Il problema è stato risolto con il rilascio delle patch di sicurezza di giugno 2026 (livelli di patch 2026-06-01 e 2026-06-05). Per gli utenti del robottino verde, l'aggiornamento dei propri dispositivi rappresenta una priorità assoluta per evitare la compromissione dei dati personali.

La seconda falla di sicurezza inserita nel KEV di CISA è tracciata come CVE-2022-0492, un difetto di escalation dei privilegi ad alta gravità che affligge diverse diramazioni del kernel Linux, nello specifico i rami da 2.6 a 4.20 e da 5.5 a 5.17. Il problema risiede nella funzione cgroup_release_agent_write() del sottosistema cgroups v1. A causa di controlli di autenticazione insufficienti, un utente malintenzionato locale può sfruttare questa debolezza per aggirare l'isolamento dei namespace, elevare i propri privilegi e potenzialmente evadere da un container per ottenere l'accesso root sull'intero sistema host.

Le analisi condotte in passato da Aqua Security e Palo Alto Networks, citate da Bleeping Computer, indicano che questa vulnerabilità colpisce principalmente gli ambienti containerizzati che utilizzano cgroups v1, con un livello di rischio estremamente elevato quando i container godono già di capacità elevate. I rami del kernel Linux che introducono i correttivi necessari per questa vulnerabilità sono i seguenti: 4.9.301+, 4.14.266+, 4.19.229+, 5.4.177+, 5.10.97+, 5.15.20+, 5.16.6+ e 5.17-rc3+. Chi gestisce infrastrutture server basate su distribuzioni Linux obsolete, deve applicare queste patch per proteggere la stabilità dell'intera infrastruttura aziendale.

L'inserimento di queste due minacce nel registro KEV impone a tutte le agenzie federali statunitensi, vincolate dalla direttiva BOD 22-01, di applicare i correttivi forniti dai rispettivi vendor o, in alternativa, di interrompere l'utilizzo dei software vulnerabili entro la scadenza del 5 giugno. Sebbene l'obbligo formale riguardi le istituzioni pubbliche americane, l'avviso di CISA funge da vero e proprio campanello d'allarme per le infrastrutture critiche e le grandi aziende di tutto il mondo. Al momento, nessuna delle due vulnerabilità risulta fortunatamente sfruttata in campagne legate a gruppi ransomware, un indicatore che CISA utilizza per evidenziare scenari di massima emergenza.