Android Security Bulletin febbraio 2026: patch level 2026-02-01 e 2026-02-05, cosa corregge e come verificare l’aggiornamento

Il patch level è una lingua comune. Non serve un Pixel per parlare quella lingua, basta un telefono Android aggiornabile. Il punto è semplice: i produttori usano quel valore per dichiarare che una build integra le correzioni previste fino a una certa data. Se tu leggi quella data e sai interpretarla, hai un controllo reale sulla tua superficie di rischio.

C’è un altro dettaglio che nel dibattito pubblico passa sempre in seconda fila. Il bollettino non è solo un elenco di bug, è una guida di compatibilità della sicurezza. Quando leggi “RCE” o “EoP” stai leggendo la forma dell’attacco. Quando leggi “2026-02-05” stai leggendo la profondità della copertura. Sono due informazioni diverse e, se le unisci, smetti di andare a intuito.

Qui facciamo una cosa che spesso manca: mettiamo ordine tra la teoria e l’uso reale. Un bollettino di sicurezza non è un documento da guardare e archiviare, è un documento da usare per decidere. Decidere se aggiornare subito, decidere se sei coperto e decidere cosa fare quando la patch non arriva.

Sommario dei contenuti

• Cosa corregge davvero febbraio 2026
• La logica delle due date: 2026-02-01 e 2026-02-05
• CVE-2026-0106: perché un’EoP in driver conta
• RCE, EoP, disclosure, DoS: traduzione per chi deve decidere
• Perché è rilevante anche senza Pixel
• Guida: come verificare patch level e cosa significa
• Se la patch non arriva: come ridurre il rischio
• FAQ

Cosa corregge davvero febbraio 2026

Il primo punto, quello che ci interessa come redazione, è distinguere il “rumore” dalla struttura. La struttura di febbraio 2026 è questa: due patch level ufficiali e una tassonomia di vulnerabilità usata per classificare i rischi. Su Pixel, in più, viene dichiarata una correzione specifica, identificata come CVE-2026-0106, legata a un driver (VPU) e classificata come Elevation of Privilege con severità “High”.

Questa combinazione ci dice due cose. La prima: il patch level resta il tuo riferimento pratico per capire se l’update è arrivato. La seconda: non sempre un aggiornamento “di sola sicurezza” è un aggiornamento leggero. Se una correzione riguarda un driver e riguarda privilegi, la distanza tra un telefono aggiornato e uno fermo può diventare enorme in un attacco a catena.

La logica delle due date di patch

La domanda che riceviamo sempre è: “Perché due date?” Il bollettino lo gestisce in modo dichiarato. Esistono due security patch level nello stesso mese per dare ai partner la possibilità di distribuire più rapidamente un sottoinsieme di correzioni comuni e poi arrivare al livello più completo.

Il modo più pulito per leggerla è questo: 2026-02-01 è il primo livello e 2026-02-05 è quello più completo. Se un dispositivo dichiara 2026-02-05 deve includere anche le correzioni associate ai livelli precedenti. Per te, lato utente, significa che la data non è decorativa: è una promessa verificabile.

CVE-2026-0106: perché un’EoP in driver conta

Questa è la parte più utile per rendere concrete le sigle. La vulnerabilità dichiarata per i Pixel non è una RCE “da remoto”, è una Elevation of Privilege. Traduzione: serve già un punto d’appoggio sul dispositivo, poi la falla può aiutare a salire di livello.

Il dettaglio tecnico che abbiamo verificato è chiaro. Il problema viene descritto come un controllo mancante sui limiti in una funzione legata al mapping di memoria del driver VPU. Risultato pratico: diventa possibile mappare indirizzi in modo improprio e ottenere escalation di privilegi a livello locale, senza bisogno di interazione dell’utente. È proprio qui che capisci perché la categoria “EoP” non va mai trattata come minore a prescindere.

C’è anche un altro punto che spesso crea confusione: la severità nel bollettino e il punteggio CVSS possono non coincidere. Nel bollettino Pixel l’issue viene indicata come “High”. Nel record tecnico del database di vulnerabilità, invece, trovi il profilo CVSS assegnato dall’ADP di CISA come molto alto, con base score 9.3. Non è una contraddizione automatica, è un cambio di metrica. Per te, in pratica, il messaggio resta lo stesso: se il tuo dispositivo riceve l’update, va installato.

RCE, EoP, disclosure e DoS: traduzione per chi deve decidere

Il bollettino classifica le vulnerabilità con quattro categorie ricorrenti. Noi le trattiamo come un linguaggio operativo.

RCE

Remote Code Execution significa che un attaccante può arrivare a eseguire codice sul dispositivo da remoto, in condizioni specifiche. È la categoria che, quando compare in componenti esposti, tende a far alzare l’urgenza perché riduce la distanza tra “sei online” e “sei compromesso”.

EoP

Elevation of Privilege significa scalare i privilegi. Spesso non è l’inizio dell’attacco, è il moltiplicatore. Se un’app malevola o un exploit ottiene un foothold, un EoP può trasformare un problema locale in controllo più ampio.

Information Disclosure

Disclosure significa perdita di riservatezza. Non è solo “privacy”, in un attacco reale può essere la fase in cui l’attaccante raccoglie token, dati o informazioni utili per passare allo step successivo.

DoS

Denial of Service significa mandare in crash o degradare un servizio. A volte è “solo” instabilità, altre volte è un tassello per stressare componenti e creare condizioni favorevoli per exploit più pesanti.

Perché è rilevante anche senza Pixel

Anche se non usi un Pixel, il patch level esiste sul tuo telefono. Quella data ti permette di misurare la distanza tra il tuo device e il livello di sicurezza dichiarato per il mese. Il bollettino, inoltre, chiarisce un concetto che vale sempre: esistono vulnerabilità che contano per dichiarare il patch level e vulnerabilità aggiuntive che possono comparire in bollettini partner.

A livello tecnico, un dettaglio utile è il modo in cui vengono citate le referenze. Le voci possono includere riferimenti che puntano a bug interni o a numeri di riferimento di vendor chipset. Quando un riferimento è segnato come non pubblico, significa che non sempre vedrai subito la spiegazione completa, però vedrai l’effetto: la patch nel firmware o nei driver.

Guida: come verificare patch level e cosa significa lato sicurezza

Facciamola pratica. Apri Impostazioni e cerca la sezione Informazioni sul telefono o Versione Android. Dentro trovi la voce Livello patch di sicurezza Android con una data. Quella data è la tua risposta.

Il significato lato sicurezza è lineare. Se la data è precedente a 2026-02-01, febbraio non è stato applicato. Se leggi 2026-02-01, sei sul primo gradino del mese. Se leggi 2026-02-05 o una data successiva, sei sul livello più completo dichiarato per febbraio 2026.

Se la patch non arriva: come ridurre il rischio

Se l’update non compare o se il patch level resta indietro, non serve farsi prendere dal panico ma serve cambiare abitudini. Qui la regola è ridurre le probabilità e ridurre l’impatto.

• Riduci l’esposizione: limita installazioni non necessarie e fai pulizia di app che non usi più.
• Resta aggiornato “a valle”: browser, app di messaggistica e servizi core devono essere aggiornati, perché spesso l’ingresso passa da lì.
• Controlla anche gli update modulari: su alcuni device esiste una data separata per gli aggiornamenti di sistema via Play.
• Pianifica il supporto: se il produttore non rilascia più patch, la scelta di sicurezza diventa scelta di sostituzione o di uso limitato.

Il tema vero, nel 2026, è che Android è diventato un ecosistema di patch su più livelli. Il patch level del sistema resta la bussola principale, però la realtà è che la superficie di rischio si compone di sistema, componenti modulari e driver. Un caso come CVE-2026-0106 è perfetto per capirlo: un driver può essere il punto in cui un attacco “locale” smette di essere locale.

C’è anche un aspetto che come insider notiamo subito: la “doppia data” è uno strumento di gestione dell’ecosistema. Serve a far muovere il mercato senza bloccarlo. Per noi utenti, però, ha un effetto collaterale positivo: mette un numero verificabile al posto delle promesse. E quando hai un numero verificabile, puoi pretendere aggiornamenti con una metrica chiara.

A cura di Junior Cristarella.