Una chiamata che non chiede nulla

Uno smartphone si illumina con una videochiamata in arrivo su VoLTE, lo standard voce su LTE che oggi trasporta la maggior parte delle chiamate sulle reti moderne. La persona che lo tiene in mano non ha ancora toccato nulla. Da qualche parte sotto il sistema operativo, in una parte del chip di cui la maggior parte dei proprietari non ha mai sentito parlare, il modem sta già elaborando in autonomia la segnalazione della videochiamata sul proprio nucleo di elaborazione separato.

Proprio quel nucleo separato è l'obiettivo. I ricercatori di sicurezza di SSD Secure Disclosure hanno pubblicato un avviso il 17 agosto 2026 che descrive una catena di exploit funzionante contro l'Unisoc T612, un chipset presente in una vasta gamma di telefoni Android economici e di fascia media. Il percorso di accesso passa attraverso la gestione, da parte del modem, della segnalazione delle videochiamate VoLTE, non attraverso il sistema operativo Android che l'utente vede.

The Hacker News, che ha coperto anch'essa l'avviso, ha riassunto la portata della notizia con chiarezza: non si tratta di una debolezza teorica descritta in un documento di laboratorio, ma di una catena dimostrata in cui un exploit funzionante può portare da una telefonata al controllo a livello kernel del dispositivo, senza che l'utente debba aprire un'app, cliccare un link o concedere alcun permesso oltre a lasciar squillare il telefono.

Dentro la catena a tre fasi

I ricercatori descrivono l'exploit come tre fasi collegate. La prima è quella che chiamano egg hunter, una tecnica che esplora la memoria alla ricerca di un piccolo payload precedentemente piazzato non appena l'aggressore dispone di un qualche accesso in scrittura, invece di dover conoscere in anticipo gli indirizzi di memoria esatti. È un passo di ricognizione che trasforma un appiglio ristretto in uno utilizzabile.

La seconda fase è quella decisiva: un bypass della MPU del chip, la memory protection unit, la funzione hardware che dovrebbe mantenere l'ambiente di esecuzione del modem isolato dalla memoria sensibile. SSD Secure Disclosure afferma che l'exploit disattiva questa protezione e poi scrive direttamente shellcode a livello kernel, garantendo all'aggressore accesso fisico illimitato alla memoria dall'interno dello stesso ambiente di esecuzione del modem, una zona che non avrebbe mai dovuto arrivare così lontano.

La terza fase è un trampolino attraverso do_sys_open, una funzione kernel di basso livello usata per aprire file, che la catena riutilizza per passare dall'accesso grezzo alla memoria al controllo completo del kernel sul lato Android. Messe in sequenza, le tre fasi portano un aggressore da una videochiamata VoLTE ricevuta fino al controllo dello stesso kernel del sistema operativo, un livello vicino al massimo grado di accesso che un dispositivo possa concedere.

Una famiglia di chip, non un solo telefono

SSD Secure Disclosure e The Hacker News indicano entrambi due dispositivi confermati come colpiti: lo Xiaomi Redmi A5 e il Motorola E13, due dei telefoni Android entry level più venduti in Europa e oltre. Entrambi sono esattamente il tipo di dispositivo che un'azienda acquista in grandi quantità per il personale che ha bisogno di un telefono funzionante, non di un top di gamma.

L'esposizione non si limita a questi due modelli. I chipset Unisoc rappresentano circa il 14 per cento del mercato mondiale dei system-on-chip per smartphone, una quota costruita quasi interamente su dispositivi economici e di fascia media, e il T612 in particolare equipaggia telefoni venduti con marchi come Honor, Realme, vivo, Samsung e Motorola. Non tutti i telefoni Unisoc usano il T612, ma la diffusione della famiglia di chip su più marchi importanti significa che l'impronta pratica è più ampia di quanto suggeriscano due soli nomi di modello.

Proprio questa combinazione, un chip molto diffuso in un segmento di mercato poco appariscente, è ciò che rende la falla rilevante sul piano commerciale e non solo accademico. I dispositivi Android economici e di fascia media sono la scelta predefinita per flotte aziendali, consegne, retail, magazzini e personale sul campo, esattamente le categorie di hardware che vengono acquistate in volume e aggiornate con minore frequenza.

Perché il normale flusso delle patch qui non funziona ancora

Ecco il dettaglio che separa questa storia da una comune vulnerabilità hardware: alla data di pubblicazione non è stato assegnato alcun identificativo CVE alla falla, e da Unisoc non esiste alcuna patch. SSD Secure Disclosure ha dichiarato senza mezzi termini di aver contattato l'azienda attraverso due canali distinti, email e LinkedIn, e di non essere riuscita a ricevere alcuna risposta. Quel silenzio fa ormai parte esso stesso della divulgazione.

La normale gestione aziendale delle vulnerabilità funziona sui numeri CVE. Gli scanner controllano database di vulnerabilità note, le checklist di procurement fanno riferimento a identificativi CVE, e i cicli di patch vengono misurati rispetto a essi. Una falla senza CVE semplicemente non compare in nessuno di questi strumenti, il che significa che un'organizzazione può eseguire un processo di gestione delle vulnerabilità pienamente conforme e restare comunque priva di qualsiasi visibilità su un exploit kernel attivo e attivabile da remoto presente nella propria flotta di dispositivi.

Per un'azienda europea con una politica BYOD, o che fornisce al personale telefoni Android economici o di fascia media, la risposta pratica non può attendere un allarme dello scanner che non ha nulla da scansionare. I team di procurement e di gestione dei dispositivi dovrebbero verificare già oggi, per modello e chipset, se nella flotta sia presente hardware Unisoc T612, invece di aspettare una voce CVE che potrebbe non arrivare secondo alcun calendario prevedibile.

Nulla di tutto ciò significa che una patch non arriverà mai. Significa che, per ora, l'unico modo affidabile per sapere se una flotta è esposta è guardare direttamente quale hardware è in uso, perché il consueto sistema di allarme preventivo non ha nulla su cui allertare.

Da leggere ora: Google non assorbe più il prezzo della memoria  |  Due Strumenti Open Source Caduti in Poche Ore