I ricercatori di sicurezza di Bitdefender hanno scoperto una vulnerabilità Android ad alto impatto, chiamata GhostMap, capace di mandare in crash il sistema e innescare un loop di riavvio continuo semplicemente installando un’app, senza che l’utente debba mai toccare l’icona o aprirla. Il problema riguarda un’ampia gamma di versioni, da Android 10 in avanti, e nei casi più gravi può richiedere il reset completo del dispositivo, con la perdita di tutti i dati salvati.
Basta installare l’app per far crashare il sistema
GhostMap sfrutta una debolezza nel modo in cui Android elabora la struttura ZIP interna dei file APK, i pacchetti usati per installare le applicazioni. Bitdefender ha creato un’app di prova priva di codice dannoso e senza permessi particolari, dimostrando che la sua semplice installazione fa andare in crash ripetutamente system_server, il processo centrale del sistema operativo, impedendo al dispositivo di avviarsi correttamente.
Nemmeno la modalità provvisoria risolve il problema
Il test è stato condotto su un Google Pixel 10 con Android 17 e la patch di sicurezza di agosto 2026. Il primo crash si è verificato circa un secondo dopo l’installazione dell’app incriminata, e in un caso il dispositivo ha registrato fino a 110 riavvii consecutivi. Secondo Bitdefender, in alcune circostanze nemmeno l’avvio in modalità provvisoria è bastato a risolvere la situazione, rendendo necessario il ripristino alle impostazioni di fabbrica, con conseguente perdita dei dati non salvati altrove.
La falla risiede nel codice base di AOSP, il progetto open source su cui si basa Android, e non in un adattamento specifico di Google: per questo motivo potrebbe interessare anche dispositivi di altri produttori, come Samsung, anche se i test pubblicati finora riguardano solo device Pixel.
Un potenziale strumento per estorsioni e malware
Bitdefender avverte che GhostMap potrebbe essere sfruttata per rendere impossibile la disinstallazione di un’app dannosa, oppure per bloccare completamente un dispositivo e chiedere un riscatto per il ripristino. La vulnerabilità potrebbe inoltre essere veicolata non solo tramite l’installazione iniziale di un’app, ma anche attraverso un aggiornamento malevolo distribuito in un secondo momento. Secondo l’azienda, l’indagine è partita nell’agosto 2026, quando un campione di malware bancario aveva già mandato in crash l’emulatore di test usato dai ricercatori, anche se in quel caso l’installazione falliva semplicemente, senza arrivare al loop di riavvio.
Google informata, patch ancora assente
Bitdefender ha segnalato il problema tramite il programma di bug bounty di Google, con la divulgazione pubblica concordata per il 5 novembre 2026. Al momento della pubblicazione, però, non risulta ancora disponibile una patch correttiva, e non sono stati rilevati attacchi reali che sfruttino GhostMap.
Nell’attesa di una correzione, la raccomandazione principale per gli utenti Android è evitare di installare APK da fonti diverse dal Google Play Store e da siti non verificati, oltre a mantenere un backup regolare dei propri dati per limitare i danni in caso di reset forzato. Google, dal suo canto, ha già corretto nell’aggiornamento di sicurezza di novembre 2026 un’altra vulnerabilità grave, che consentiva l’esecuzione di codice sul dispositivo partendo dal solo numero di telefono: chi possiede un Pixel dovrebbe verificare di aver installato la patch più recente.
