GhostMap: la falla Android che blocca il telefono

Cosa è successo

I ricercatori di Bitdefender Labs hanno chiamato la falla GhostMap. L'hanno trovata analizzando un trojan bancario (un programma che ruba dati dai conti online) il cui impacchettamento faceva andare in crash l'installazione di Android.

Con una app di prova hanno provocato un riavvio continuo su un Pixel 10 con Android 17 e patch di sicurezza del 5 agosto 2026. L'app di prova non ha codice eseguibile e non chiede permessi. Per BleepingComputer basta installarla, senza aprirla.

Come funziona

Due parti di Android leggono in modo diverso i metodi di compressione dei file ZIP (un APK, il pacchetto di un'app, è uno ZIP). Un APK costruito apposta supera i controlli sulle dimensioni, ma poi il sistema legge oltre la fine reale del file e il processo si blocca (errore SIGBUS).

Se a leggere quel file è system_server, il processo centrale di Android, si blocca, si riavvia, rilegge lo stesso file e si blocca di nuovo. In una prova Bitdefender ha contato 110 cicli con la schermata di avvio ferma. Il bug è nel codice base di Android (AOSP): riprodotto da Android 10 in poi, ma Bitdefender ha provato solo telefoni Pixel, nessun altro produttore.

La risposta di Google

Bitdefender ha segnalato il problema il 20 agosto 2026: Google lo ha chiuso come «Won't Fix (Not Reproducible)». Il 25 agosto è arrivata una segnalazione più completa, con una dimostrazione funzionante: Google ha risposto che il caso è fuori dall'ambito di un aggiornamento di sicurezza, ma lo ha passato a un team per una possibile versione futura.

Non c'è un codice CVE. BleepingComputer ha chiesto a Google a che punto sia la correzione e al momento della pubblicazione non aveva risposta. A fine ottobre Bitdefender ha comunicato la data di pubblicazione, il 5 novembre, e Google era d'accordo (Help Net Security).

Cosa puoi fare

Le fonti non indicano una difesa sicura. Secondo Bitdefender, riportata da BleepingComputer, l'unico momento per fermare l'attacco è l'installazione; antivirus di terze parti potrebbero avvisare ma non bloccare. Se il telefono finisce nel loop, i rimedi riportati da BleepingComputer sono:

1. il ripristino di fabbrica, che cancella i dati salvati nel telefono;
2. oppure cancellare il file dannoso con ADB (strumento da computer), solo se il debug USB era già attivo e i comandi partono prima del crash.

Da dove vengono questi dati

Lette: BleepingComputer, Help Net Security e la fonte primaria, il post di Bitdefender Labs (tutte del 5 novembre 2026). Altre testate, anche italiane, ripetono la stessa ricerca e contano come una fonte sola.

Non risulta nelle fonti: come l'app arriverebbe su un telefono (Play Store o altro), se Play Protect la fermerebbe, quali produttori diversi da Google siano colpiti, il numero di telefoni a rischio.