Un exploit a due fasi scoperto da SSD Secure Disclosure permette a un attaccante di ottenere il pieno controllo del kernel Android su dispositivi con modem Unisoc tramite una videochiamata VoLTE, senza che sia disponibile una patch ufficiale.
Un nuovo allarme sicurezza colpisce i dispositivi Android equipaggiati con modem Unisoc: i ricercatori di SSD Secure Disclosure hanno pubblicato i dettagli di una catena di exploit in due fasi che consente a un attaccante di ottenere l'accesso completo al kernel Android tramite una semplice videochiamata VoLTE. Al momento, il produttore del chipset non ha rilasciato alcuna correzione.
La vulnerabilità, resa pubblica il 17 agosto 2026, rappresenta il secondo stadio di una catena iniziata a marzo 2026, quando SSD aveva già segnalato una falla di esecuzione di codice remoto nello stesso firmware, sfruttabile tramite una chiamata SIP video manipolata. Per completare l'attacco, l'aggressore deve controllare una rete cellulare 4G privata e la vittima deve rispondere alla videochiamata in arrivo.
Dettagli tecnici e dispositivi coinvolti
La falla di escalation dei privilegi, classificata come CWE-1189 (Improper Isolation of Shared Resources on System-on-a-Chip), non ha ancora un identificativo CVE. Il problema risiede nel firmware modem condiviso da almeno tre chip Unisoc: T606 (Motorola E13), T612 (Realme C33) e T7250 (Xiaomi Redmi A5). Unisoc, ex Spreadtrum, fornisce componenti a marchi come Motorola, Realme e Xiaomi, con dispositivi venduti in oltre 140 paesi.
I ricercatori hanno confermato la vulnerabilità su Motorola E13 (patch di sicurezza febbraio 2025) e Xiaomi Redmi A5 (patch gennaio 2026). L'exploit richiede prima di tutto l'accesso al modem tramite la falla RCE di marzo 2026, poi l'uso di infrastruttura VoLTE controllata dall'attaccante e la risposta della vittima alla chiamata.
Come funziona l'exploit e rischi per gli utenti
Nel laboratorio di SSD, l'ambiente di test è stato ricreato con una core network 4G open source, una radio software-defined e SIM speciali. Una volta ottenuto il controllo del modem, l'attaccante può scrivere una configurazione di accesso totale all'ARM Memory Protection Unit del modem, mappando l'intero spazio di indirizzi fisici a lettura, scrittura ed esecuzione, inclusa la memoria del kernel Android. Questo è possibile perché, nei SoC Unisoc, modem e processore applicativo condividono lo stesso spazio fisico di memoria senza barriere hardware che impediscano al modem di modificare la memoria del kernel.
La vulnerabilità è stata dimostrata osservando l'output dei log kernel dopo l'iniezione del payload. Né il bollettino di sicurezza Android di agosto 2026 né le comunicazioni Unisoc affrontano il problema. Un avviso Unisoc di ottobre 2025 (CVE-2025-31718) descrive una falla simile, ma non è chiaro se sia collegata alla scoperta di SSD.
Assenza di patch e precedenti simili
Al momento, non esistono patch o mitigazioni disponibili: gli utenti devono attendere eventuali aggiornamenti firmware dai produttori. Un precedente studio di Kaspersky ICS CERT (novembre 2025) aveva documentato una condizione architetturale simile su un altro chip Unisoc (UIS7862A), usato in unità di bordo per veicoli, dimostrando la possibilità di accedere al kernel Android tramite il modem. In quel caso, una delle vie di attacco era di tipo hardware e non risolvibile via software, mentre la tecnica SSD sarebbe correggibile con un aggiornamento firmware, che però Unisoc non ha ancora annunciato.
Nel 2022, una vulnerabilità Unisoc (CVE-2022-20210) era stata risolta e distribuita tramite il bollettino di sicurezza Android, ma per le due falle attuali non c'è alcuna garanzia di patch. Il tema della sicurezza dei dispositivi mobili e delle infrastrutture di rete è stato approfondito anche nel nostro recente speciale sulle nuove minacce tra AI, cloud e malware.
