Rilevate vulnerabilità ad alta gravità in prodotti Qualcomm

Contesto

L'ACN / CSIRT Italia ha rilevato e segnalato quattro vulnerabilità ad alta gravità, identificate con l'alert AL06/260707/CSIRT-ITA, che affliggono diversi prodotti Qualcomm. Le vulnerabilità riguardano specificamente i chipset Wi-Fi (WLAN Host), i Chipset Qualcomm Compute (Windows Compute), la componente High-Level Operating System (HLOS) e i Digital Signal Processor (DSP) di Qualcomm. Le tipologie di vulnerabilità includono Denial of Service, Elevation of Privilege, Information Disclosure e Remote Code Execution. Sono state identificate quattro CVE specifiche: CVE-2026-25268, CVE-2026-21383, CVE-2026-21379 e CVE-2026-25271. L'impatto sistemico di queste vulnerabilità è classificato come Alto (65.12). Il bollettino di sicurezza del vendor, pubblicato il 07-07-2026, fornisce i dettagli sui prodotti e le versioni affette, oltre alle indicazioni precise per gli aggiornamenti di sicurezza necessari. - Fonte: ACN / CSIRT Italia

Perché conta

Se in azienda girano smartphone, router o dispositivi con chip Qualcomm, questi difetti ti riguardano: possono aprire la porta all'esecuzione di codice da remoto e al furto di informazioni. Non serve un reparto IT strutturato per agire, basta assicurarsi che gli aggiornamenti del produttore vengano installati appena disponibili. Hai un elenco dei dispositivi aziendali e di chi si occupa di aggiornarli?

Cosa fare

• Consultare il bollettino ufficiale di sicurezza di Qualcomm per identificare i prodotti e le versioni affette presenti nella propria infrastruttura.
• Applicare tempestivamente gli aggiornamenti di sicurezza rilasciati da Qualcomm per mitigare le vulnerabilità.
• Verificare che i processi interni di gestione delle patch e delle vulnerabilità siano efficaci e costantemente aggiornati.
• Monitorare la propria infrastruttura per rilevare eventuali tentativi di sfruttamento delle vulnerabilità note.

Cosa evitare

• Non applicare gli aggiornamenti di sicurezza consigliati dal vendor.
• Ignorare la gravità delle vulnerabilità, in particolare quelle che consentono Remote Code Execution e Information Disclosure.
• Utilizzare prodotti Qualcomm vulnerabili senza averne verificato la versione e l'applicabilità delle patch.

Implicazioni pratiche

Le organizzazioni che utilizzano dispositivi basati su chipset Qualcomm (come smartphone, tablet, dispositivi IoT o apparati di rete) devono considerare queste vulnerabilità come un rischio operativo significativo. La compromissione di tali componenti può esporre l'intera infrastruttura a rischi di perdita di dati, interruzione di servizi critici o accesso non autorizzato. È fondamentale agire proattivamente per mantenere la sicurezza e la conformità normativa. - Fonte: ACN / CSIRT Italia

Azioni da fare

• Identificare tutti i dispositivi nell'inventario aziendale che incorporano chipset Qualcomm.
• Pianificare e implementare urgentemente l'applicazione delle patch di sicurezza sui dispositivi interessati.
• Valutare l'impatto potenziale di queste vulnerabilità sui propri processi e dati aziendali.
• Aggiornare i registri dei rischi e le procedure di gestione delle vulnerabilità in base a questa nuova minaccia.

Errori da evitare

• Rinviare l'applicazione delle patch per motivi operativi o di testing non critici.
• Presupporre che solo specifici dispositivi siano a rischio senza una verifica completa dell'inventario.
• Non comunicare l'esistenza di queste vulnerabilità ai responsabili interni pertinenti, inclusi DPO e IT manager.

Domande di self-assessment

• Abbiamo un inventario aggiornato di tutti i dispositivi hardware in uso, inclusi i componenti interni come i chipset?
• I nostri processi di gestione delle patch prevedono la tempestiva applicazione di aggiornamenti di sicurezza per vulnerabilità ad alta gravità?
• Abbiamo la capacità di monitorare e rilevare tentativi di sfruttamento di queste vulnerabilità sui nostri sistemi?
• Il nostro piano di risposta agli incidenti è adeguato per gestire una potenziale compromissione derivante da queste vulnerabilità?

Riferimenti

Normativa nazionale: Direttiva NIS2 · ISO/IEC 27001 · GDPR