I ricercatori di Bitdefender hanno pubblicato il 5 novembre 2026 i dettagli di GhostMap, un difetto di Android che permette a un’app appositamente costruita di bloccare il telefono in un ciclo infinito di riavvii. L’app non contiene codice, non chiede permessi e non deve nemmeno essere aperta: basta installarla. Google, avvisata ad agosto, ha deciso di non distribuire una correzione con un bollettino di sicurezza, e Bitdefender non indica alcun identificativo CVE.
In breve
- Chi è colpito: secondo Bitdefender, tutte le versioni da Android 10 in poi, compreso Android 17.
- Cosa succede: un processo centrale del sistema va in crash, riparte, rilegge lo stesso file e va di nuovo in crash; il telefono resta fermo sull’animazione di avvio.
- Come se ne esce: il ripristino dei dati di fabbrica, che cancella i dati; solo in condizioni particolari con ADB da un computer.
- Attacchi in corso: nessuno osservato, secondo Bitdefender.
Due librerie che leggono lo stesso file in modo diverso
Un APK, il pacchetto di installazione di un’app Android, è un archivio ZIP in cui ogni file dichiara metodo di compressione e dimensione da estratto. Android lo legge con più librerie, e qui sta il punto: la prima, libziparchive, controlla la dimensione dichiarata solo per i file non compressi; la seconda, libandroidfw, tratta come non compresso tutto ciò che non è esplicitamente compresso. Un file marcato con un metodo diverso dai due previsti cade nel mezzo: nessuno ne verifica la dimensione e Android lo mappa in memoria per la grandezza dichiarata, molto oltre la fine reale del file. Alla prima lettura in quella zona vuota il processo viene terminato con un errore SIGBUS.
Se il file malformato è una risorsa che i servizi di sistema leggono dopo l’installazione, a cadere è system_server, il processo che ospita buona parte di Android. Ripartendo, il servizio ripassa l’elenco delle app, rilegge lo stesso file e cade di nuovo. Bitdefender ha riprodotto il problema su un Pixel 10 con Android 17 e patch di sicurezza del 5 agosto 2026: il primo crash è arrivato circa un secondo dopo l’installazione e, in una registrazione, il ciclo si è ripetuto 110 volte. In modalità provvisoria i cicli registrati sono stati 72, perché il file viene letto prima che la modalità abbia effetto.
Attenzione: riavviare il telefono non risolve. Secondo Bitdefender l’unica alternativa al ripristino di fabbrica è cancellare il file via ADB da un computer, tra un crash e l’altro, e solo se il debug USB era già attivo; dopo il primo riavvio completo del sistema anche questa strada si chiude.
La cronologia con Google
| Data | Cosa è successo |
|---|---|
| 12 agosto 2026 | Un APK raccolto in rete, un dropper di un trojan bancario, manda in crash gli emulatori di analisi di Bitdefender durante l’installazione. |
| 20 agosto 2026 | Prima segnalazione a Google, chiusa poco dopo come «Won’t Fix (Not Reproducible)» e fuori dal perimetro del programma. |
| 25 agosto 2026 | Seconda segnalazione con prova di concetto funzionante. Google la ritiene fuori dal perimetro degli aggiornamenti di sicurezza e la passa al team competente per una possibile futura versione. |
| 5 novembre 2026 | Bitdefender pubblica la ricerca; nessuna correzione disponibile. |
Secondo i ricercatori, il campione originale si limitava a far fallire l’installazione e nulla indica che il suo autore conoscesse l’effetto. La versione con il riavvio continuo è stata costruita in laboratorio da Bitdefender. Gli scenari descritti, cioè rendere inservibile un telefono a scopo di estorsione, impedire la disinstallazione di un’app dannosa facendo crashare le schermate che servirebbero a rimuoverla, o mandare in crash gli strumenti di analisi, sono ipotesi. Il bug non esegue codice e non ruba dati: è un blocco del servizio.
Cosa fare
Non esiste una correzione, quindi la difesa è a monte. Le indicazioni seguono le pagine di supporto di Google verificate il 5 novembre 2026; sui telefoni non Pixel le voci possono cambiare.
- Installate app solo da fonti affidabili. Google consiglia Google Play e avverte che le app da fonti sconosciute possono danneggiare il dispositivo o far perdere dati. Il tema delle installazioni esterne al Play Store è al centro anche di https://hardwarfare.it/ai-software/android/android-verifica-sviluppatori-sideloading/.
- Lasciate attivo Play Protect. Dal Play Store, toccate l’icona del profilo, poi Play Protect e Impostazioni, e controllate che «Analizza le app con Play Protect» sia attivo. Google precisa che è attivo per impostazione predefinita; non sappiamo se riconosca già questo tipo di file.
- Tenete un backup aggiornato. Se servisse un ripristino di fabbrica, è l’unico modo per non perdere tutto: da Impostazioni, Google, Tutti i servizi, sezione Backup e ripristino. Google ricorda che non tutte le app supportano il backup completo dei propri dati.
Secondo Bitdefender la sua app Mobile Security riconosce il file malformato e avvisa l’utente, e altre soluzioni potrebbero fare lo stesso; Android però non permette a un’app di terze parti di bloccare l’installazione: la decisione resta a chi usa il telefono, con pochissimo tempo per agire.
La nostra lettura
Il rischio pratico oggi è basso: nessun attacco osservato e serve comunque convincere qualcuno a installare un’app. Ma la risposta di Google è difficile da difendere. Un difetto che rende inutilizzabile il telefono finché non si cancella tutto, innescabile da un’app senza permessi, non è un dettaglio da rimandare a una versione futura senza data, tanto più che Bitdefender ricorda come Google nel 2016 avesse corretto un caso simile, pur classificandolo di gravità moderata. Speriamo che la pubblicazione acceleri i tempi; nel frattempo vale la regola di sempre, cioè poche app e da fonti affidabili. Gli altri avvisi sono raccolti in https://hardwarfare.it/category/sicurezza-informatica/vulnerabilita-patch/.
Fonti
- Bitdefender Labs
- Guida di Google Play (Play Protect)
- Guida di Android (backup)
- Guida di Android (scaricare app)
- BleepingComputer
Immagine di copertina: Google Pixel 8 Pro and Google Pixel 7 Pro.jpg di SimonWaldherr, licenza CC BY-SA 4.0, via Wikimedia Commons; elaborazione grafica HardWarfare.
Articolo redatto con il supporto di strumenti di intelligenza artificiale e verificato dalla redazione. Come usiamo l'AI · Come lavoriamo
