Rilevate vulnerabilità ad alta gravità in prodotti Qualcomm

Contesto

L'ACN / CSIRT Italia ha rilevato e segnalato quattro vulnerabilità ad alta gravità, identificate con l'alert AL06/260707/CSIRT-ITA, che affliggono diversi prodotti Qualcomm. Le vulnerabilità riguardano specificamente i chipset Wi-Fi (WLAN Host), i Chipset Qualcomm Compute (Windows Compute), la componente High-Level Operating System (HLOS) e i Digital Signal Processor (DSP) di Qualcomm. Le tipologie di vulnerabilità includono Denial of Service, Elevation of Privilege, Information Disclosure e Remote Code Execution. Sono state identificate quattro CVE specifiche: CVE-2026-25268, CVE-2026-21383, CVE-2026-21379 e CVE-2026-25271. L'impatto sistemico di queste vulnerabilità è classificato come Alto (65.12). Il bollettino di sicurezza del vendor, pubblicato il 07-07-2026, fornisce i dettagli sui prodotti e le versioni affette, oltre alle indicazioni precise per gli aggiornamenti di sicurezza necessari. — Fonte: ACN / CSIRT Italia

Perché conta

Le vulnerabilità di tipo Remote Code Execution e Information Disclosure rappresentano un rischio significativo per l'integrità, la riservatezza e la disponibilità dei dati personali e dei sistemi informativi, elementi centrali per la compliance al GDPR e alla Direttiva NIS2. Un attacco riuscito potrebbe portare a violazioni di dati (data breach), interruzioni dei servizi essenziali o accesso non autorizzato ai sistemi, con potenziali conseguenze legali, reputazionali e finanziarie per l'organizzazione. La Direttiva NIS2 richiede alle organizzazioni di implementare misure tecniche e organizzative appropriate per gestire i rischi per la sicurezza delle reti e dei sistemi informativi. La mancata applicazione di patch di sicurezza per vulnerabilità ad alta gravità, specialmente in componenti hardware pervasive come i chipset, potrebbe essere considerata una violazione di tali requisiti, oltre che una carenza rispetto ai controlli di gestione delle vulnerabilità previsti dalla ISO 27001. — Fonte: ACN / CSIRT Italia

Cosa fare

• Consultare il bollettino ufficiale di sicurezza di Qualcomm per identificare i prodotti e le versioni affette presenti nella propria infrastruttura.
• Applicare tempestivamente gli aggiornamenti di sicurezza rilasciati da Qualcomm per mitigare le vulnerabilità.
• Verificare che i processi interni di gestione delle patch e delle vulnerabilità siano efficaci e costantemente aggiornati.
• Monitorare la propria infrastruttura per rilevare eventuali tentativi di sfruttamento delle vulnerabilità note.

Cosa evitare

• Non applicare gli aggiornamenti di sicurezza consigliati dal vendor.
• Ignorare la gravità delle vulnerabilità, in particolare quelle che consentono Remote Code Execution e Information Disclosure.
• Utilizzare prodotti Qualcomm vulnerabili senza averne verificato la versione e l'applicabilità delle patch.

Implicazioni pratiche

Le organizzazioni che utilizzano dispositivi basati su chipset Qualcomm (come smartphone, tablet, dispositivi IoT o apparati di rete) devono considerare queste vulnerabilità come un rischio operativo significativo. La compromissione di tali componenti può esporre l'intera infrastruttura a rischi di perdita di dati, interruzione di servizi critici o accesso non autorizzato. È fondamentale agire proattivamente per mantenere la sicurezza e la conformità normativa. — Fonte: ACN / CSIRT Italia

Azioni da fare

• Identificare tutti i dispositivi nell'inventario aziendale che incorporano chipset Qualcomm.
• Pianificare e implementare urgentemente l'applicazione delle patch di sicurezza sui dispositivi interessati.
• Valutare l'impatto potenziale di queste vulnerabilità sui propri processi e dati aziendali.
• Aggiornare i registri dei rischi e le procedure di gestione delle vulnerabilità in base a questa nuova minaccia.

Errori da evitare

• Rinviare l'applicazione delle patch per motivi operativi o di testing non critici.
• Presupporre che solo specifici dispositivi siano a rischio senza una verifica completa dell'inventario.
• Non comunicare l'esistenza di queste vulnerabilità ai responsabili interni pertinenti, inclusi DPO e IT manager.

Domande di self-assessment

• Abbiamo un inventario aggiornato di tutti i dispositivi hardware in uso, inclusi i componenti interni come i chipset?
• I nostri processi di gestione delle patch prevedono la tempestiva applicazione di aggiornamenti di sicurezza per vulnerabilità ad alta gravità?
• Abbiamo la capacità di monitorare e rilevare tentativi di sfruttamento di queste vulnerabilità sui nostri sistemi?
• Il nostro piano di risposta agli incidenti è adeguato per gestire una potenziale compromissione derivante da queste vulnerabilità?

Riferimenti

Normativa nazionale: Direttiva NIS2 · ISO/IEC 27001 · GDPR