Secondo Kaspersky ICS CERT, una vulnerabilità a livello hardware, riguardante i chip Qualcomm Snapdragon, è presente in un’ampia gamma di dispositivi consumer e industriali. Ne sono affetti smartphone e tablet, componenti Automotive, dispositivi IoT e altro ancora.
Gli attaccanti potrebbero accedere a qualsiasi dato memorizzato sul device o ai suoi sensori, come fotocamera e microfono, mettendo in atto attacchi complessi e perfino ottenere il controllo totale del dispositivo.
“Questa vulnerabilità non va letta come l’ennesima falla su un chipset Qualcomm. Quando il problema colpisce la BootROM, cioè uno dei livelli più bassi della catena di avvio, il dispositivo smette di essere solo un oggetto tecnologico e diventa la radice materiale della fiducia digitale”, commenta Francesco Iezzi, Cybersecurity Specialist NHOA.
Indice degli argomenti
La vulnerabilità nei chip Qualcomm
La vulnerabilità nei chip Qualcomm risiede nel BootROM, il firmware integrato a livello hardware. “Prima del sistema operativo, prima degli agent di sicurezza, prima della cifratura, c’è il momento in cui il telefono decide se fidarsi di sé stesso. Se quel momento viene compromesso, tutto ciò che viene dopo rischia di diventare solo una sicurezza apparente”, spiega Francesco Iezzi, per mostrare quanto sia insidiosa questa falla.
La falla si riferisce alle serie Qualcomm MDM9x07, MDM9x45, MDM9x65, MSM8909, MSM8916, MSM8952 e SDX50. Kaspersky l’ha segnalata al vendor di chip oltre un anno fa: nel marzo 2025.
Qualcomm ha ammesso la vulnerabilità a livello formale nell’aprile successivo alla segnalazione, e le ha attribuito il codice CVE-2026-25262. Ma la vulnerabilità potrebbe riguardare anche altri chip, sempre basati su Qualcomm.
“Oggi lo smartphone è uno dei principali contenitori della nostra identità digitale. In un contesto enterprise, su quel dispositivo transitano email, contatti, credenziali, comunicazioni e accessi a servizi aziendali. Una falla a questo livello non riguarda quindi solo il device in sé, ma può trasformarlo in un punto di compromissione ad alto valore”, mette in guardia Francesco Iezzi.
I dettagli
Kaspersky ha messo al microscopio ilprotocollo Sahara, un sistema di comunicazione di livello basso, usato quando un chip Qualcomm entra in modalità EDL (Emergency Download Mode), una modalità di ripristino ideata per riparare o ripristinare smartphone od altri dispositivi.
Sahara costituisce il primo passaggio che permette a un Pc di connettersi al dispositivo e prima di caricare il software, dunque prima di avviare il sistema operativo sul dispositivo stesso.
I ricercatori hanno mostrato che una falla in questo processo potrebbe permettere a un attaccante – che abbia guadagnato accesso fisico al dispositivo colpito – di bypassare le protezioni integrate nel chip, compromettendo la catena di avvio sicuro e perfino riuscendo ad installare, in alcuni casi, applicazioni malevole e backdoor nel processore applicativo del chip. L’intero dispositivo ne risulterebbe compromesso.
“Il fatto che l’attacco richieda accesso fisico, ne limita lo sfruttamento su larga scala, ma non ne riduce la gravità. Anzi, lo rende pienamente phygital: in un mondo fatto di oggetti connessi, apparati industriali, modem, gateway, dispositivi medicali, automotive e infrastrutture critiche, il confine tra manomissione fisica e compromissione digitale diventa sempre più sottile. Un contatto fisico temporaneo può tradursi in persistenza digitale profonda, invisibile agli strumenti tradizionali e difficilmente sanabile con una semplice patch”, mette in evidenza Francesco Iezzi.
Un esempio: accesso alle password
Se l’aggressore ottenesse accesso alle password inserite dall’utente nel dispositivo di destinazione (smartphone o tablet), potrebbe accedere a diversi tipi di dati sensibili, quali file, contatti, posizione, oltre alla fotocamera e al microfono del dispositivo.
“Nel phigital, il chip non è un dettaglio tecnico: è il primo campo di battaglia. Ed è un caso che ci ricorda comela sicurezza informatica non sia mai soltanto digitale, ma anche profondamente fisica“, sottolinea Francesco Iezzi.
A un potenziale attaccante sono infatti sufficienti pochi minuti di accesso fisico a un dispositivo per mettere a repentaglio la sicurezza, mentre lo smartphone è in riparazione o è rimasto incustodito anche per un breve lasso di tempo.
Come mitigare il rischio
I ricercatori di Kaspersky sottolineano che la minaccia supera gli scenari relativi agli utenti finali e include potenziali violazioni già nella fase della supply chain.
“Vulnerabilità come questa potrebbero consentire agli hacker diinstallare malware difficili da individuare e rimuovere. In pratica, questo potrebbe permettere la raccolta occulta di dati o influenzare il comportamento dei dispositivi per lunghi periodi di tempo. Sebbene il riavvio possa sembrare un modo efficace per rimuovere tale malware, non è sempre affidabile: i sistemi compromessi possono simulare un riavvio senza effettivamente resettarsi. In questi casi, solo un’interruzione completa dell’alimentazione, compreso l’esaurimento della batteria, garantisce un riavvio pulito”, ha commentato Sergey Anufrienko, Security Expert di Kaspersky ICS CERT.
Il consiglio per le aziende e gli utenti consumer è di effettuare seri controlli di
sicurezza fisica sui dispositivi, anche in fase di approvvigionamento, manutenzione e dismissione.
Il riavvio del dispositivo deve avvenire, se possibile, interrompendo l’alimentazione del chip in esame, oppure scaricando completamente la batteria, per eliminare il malware, qualora risultasse installato.
“La difesa deve quindi partire dapiù livelli: controllo fisico del dispositivo, PIN e password robusti, cifratura, gestione tramite MDM, capacità di blocco o wipe remoto, monitoraggio delle anomalie e verifica continua della fiducia lungo tutto il ciclo di vita del prodotto. La lezione strategica è chiara: la cyber security non può più iniziare ‘dopo il boot’, ma deve partire dal prodotto, dal silicio, dalla supply chain e dalla custodia fisica”, avverte Francesco Iezzi.
