Samsung ha pubblicato l’8 settembre 2026 il bollettino SMR-SEP-2026, il pacchetto di sicurezza destinato ai Galaxy supportati. Non si tratta di un semplice aggiornamento mensile: il pacchetto riunisce 90 correzioni tra vulnerabilità Android, una falla Samsung Semiconductor e 31 problemi specifici dell’ecosistema Galaxy.
Le correzioni più importanti per chi usa uno smartphone Samsung riguardano due vulnerabilità critiche nei decoder DNG e JPEG. Samsung indica che entrambe possono permettere a un attaccante remoto di eseguire codice arbitrario sui dispositivi interessati con Android 14, 15, 16 o 17. Il bollettino non segnala però uno sfruttamento attivo nel mondo reale, quindi è corretto parlare di falle critiche da correggere, non di zero-day già usate negli attacchi.
La conseguenza pratica è semplice: quando l’aggiornamento di settembre compare sul tuo Galaxy, conviene installarlo senza rimandare inutilmente. Se non lo vedi ancora, non significa che il telefono sia escluso: Samsung distribuisce gli update con tempistiche che possono cambiare in base a modello, mercato e operatore.
Quante vulnerabilità corregge la patch Samsung di settembre 2026
Il bollettino ufficiale Samsung Mobile Security divide il pacchetto in tre gruppi. Sommando le voci pubblicate da Samsung si arriva a 90 correzioni complessive.
| Origine | Correzioni | Cosa comprendono |
|---|---|---|
| Google Android | 58 | 18 vulnerabilità Critical e 40 High applicabili ai dispositivi Samsung |
| Samsung Semiconductor | 1 | CVE-2026-48173, classificata High |
| Samsung SVE | 31 | Problemi specifici di componenti e servizi Galaxy |
| Totale | 90 | Correzioni incluse nel pacchetto SMR-SEP-2026 |
Il numero da solo non dice quanto sia urgente un update. È più utile guardare quali componenti sono coinvolti, quale livello di accesso richiede un attacco e cosa può ottenere un aggressore. In questo bollettino le due falle nei decoder delle immagini meritano più attenzione perché Samsung le classifica Critical e le descrive come sfruttabili da remoto.
Le due falle critiche nei file DNG e JPEG
Le vulnerabilità più rilevanti sono CVE-2026-21095 e CVE-2026-21096. Entrambe interessano la libreria di elaborazione delle immagini libimagecodec.quram.so prima di SMR Sep-2026 Release 1.
CVE-2026-21095: decoder DNG
Samsung descrive CVE-2026-21095 come un heap-based buffer overflow nel decoder DNG. Le versioni interessate indicate nel bollettino sono Android 14, 15, 16 e 17. Prima della correzione, un attaccante remoto può arrivare all’esecuzione di codice arbitrario.
CVE-2026-21096: decoder JPEG
CVE-2026-21096 riguarda invece il decoder JPEG della stessa libreria. Anche qui Samsung parla di un heap-based buffer overflow e di possibile esecuzione di codice da remoto sui dispositivi con Android 14, 15, 16 e 17.
Questo non significa che qualsiasi immagine ricevuta comprometta automaticamente il telefono. Samsung non pubblica nel bollettino tutti i dettagli utili a ricostruire una catena di attacco completa e non afferma che queste falle siano già sfruttate. Il dato verificabile è che il produttore considera entrambe Critical e ha corretto il problema nella release di settembre.
Wi-Fi, ImsService, Knox Vault e DualDAR: le altre falle da conoscere
Il bollettino contiene anche vulnerabilità meno immediate per l’utente comune ma importanti dal punto di vista tecnico.
- CVE-2026-21094 interessa wpa_supplicant. Samsung indica un problema di validazione degli input che può permettere a un attaccante adiacente di scrivere fuori dai limiti della memoria.
- CVE-2026-21092 riguarda ImsService. Una vulnerabilità di path traversal può permettere a un attaccante remoto di creare file immagine con i privilegi di system_server.
- CVE-2026-21104 interessa un trustlet di Knox Vault e può consentire a un attaccante locale con privilegi di eseguire codice arbitrario.
- CVE-2026-21101 riguarda il driver DualDAR e può portare a esecuzione di codice con privilegi root da parte di un attaccante locale privilegiato.
- CVE-2026-21102 è un use-after-free in DualDAR che può consentire esecuzione di codice con privilegi root a un attaccante locale privilegiato.
Il quadro mostra perché una patch mensile non va valutata soltanto contando le vulnerabilità Critical. Alcune falle High o Moderate richiedono condizioni più restrittive, ma riguardano componenti molto sensibili come rete, servizi di sistema e ambienti protetti.
Devo aggiornare subito il Galaxy?
Sì, quando il pacchetto destinato al tuo modello diventa disponibile. Le due vulnerabilità critiche dei decoder giustificano da sole un aggiornamento rapido, soprattutto su uno smartphone usato per banca, lavoro, autenticazione, documenti o dati personali.
Non serve però installare firmware trovati su siti casuali se l’OTA non è ancora comparso. Samsung specifica che la disponibilità può variare in base a regione, modello e operatore. Un rollout più lento non equivale automaticamente a un dispositivo abbandonato.
Se vuoi capire se il livello installato è recente o troppo vecchio per il tuo modello, puoi usare la nostra guida dedicata a come controllare la data della patch di sicurezza Android.
Come controllare se la patch di settembre è installata
Su un Galaxy il percorso può cambiare leggermente tra versioni di One UI, ma normalmente puoi partire da Impostazioni > Info sul telefono > Informazioni software. Cerca la voce relativa al livello patch di sicurezza Android o alla versione software di sicurezza.
- Apri Impostazioni.
- Entra in Info sul telefono.
- Apri Informazioni software.
- Controlla la data dell’aggiornamento della sicurezza Android.
- Torna in Impostazioni e apri Aggiornamento software > Scarica e installa.
- Se è disponibile un nuovo pacchetto, installalo e riavvia il dispositivo quando richiesto.
Non confondere la data della patch Android con la versione principale di One UI. Un Galaxy può restare sulla stessa versione dell’interfaccia e ricevere comunque un nuovo pacchetto di sicurezza. Allo stesso modo, chi sta seguendo il programma One UI 9 beta deve distinguere gli aggiornamenti beta dalle normali patch destinate ai firmware stabili.
Quali Galaxy ricevono aggiornamenti mensili
Samsung mantiene una pagina ufficiale con la cadenza degli aggiornamenti. Al momento della pubblicazione, tra i principali modelli indicati nel programma mensile figurano le serie Galaxy S23, S24, S25 e S26, oltre a diversi pieghevoli recenti come Z Fold5, Fold6, Fold7, Fold8 e le corrispondenti generazioni Flip supportate.
Altri modelli seguono una cadenza trimestrale. La lista può cambiare quando termina il periodo di supporto e Samsung precisa che alcuni operatori possono applicare tempistiche differenti anche a dispositivi normalmente inclusi nel programma mensile.
Per questo non è corretto usare il bollettino dell’8 settembre come prova che ogni Galaxy debba mostrare l’update nello stesso giorno. Il bollettino descrive le correzioni, il rollout effettivo segue invece il calendario del singolo modello e mercato.
Se l’aggiornamento non compare, cosa fare
- Controlla manualmente Aggiornamento software > Scarica e installa.
- Collega lo smartphone a una rete stabile e verifica di avere spazio libero sufficiente.
- Riavvia il telefono se non controlli gli update da molto tempo.
- Verifica che il modello sia ancora nella finestra di supporto Samsung.
- Se il rollout è appena iniziato, attendi la distribuzione prevista per la tua variante.
- Evita pacchetti firmware provenienti da fonti non ufficiali solo per anticipare di qualche giorno l’OTA.
Un reset di fabbrica non è normalmente necessario per ricevere una patch di sicurezza e non corregge una vulnerabilità che richiede un nuovo firmware. Se l’aggiornamento non arriva per settimane su un modello che dovrebbe riceverlo, ha più senso verificare variante, CSC, operatore e supporto ufficiale.
La patch Samsung settembre 2026 è già disponibile per tutti?
No. Il bollettino SMR-SEP-2026 è stato pubblicato l’8 settembre 2026, ma Samsung specifica che la distribuzione delle patch può cambiare in base a regione e modello. La presenza del bollettino non significa che ogni Galaxy abbia già ricevuto l’OTA.
Le vulnerabilità sono già sfruttate negli attacchi?
Samsung indica le due falle critiche nei decoder DNG e JPEG come privately disclosed. Nel bollettino non viene dichiarato uno sfruttamento attivo. È quindi corretto installare rapidamente la patch, ma non presentare queste CVE come vulnerabilità già osservate negli attacchi senza una conferma ulteriore.
Serve resettare il telefono dopo l’aggiornamento?
No, in condizioni normali. Installa l’aggiornamento ufficiale e completa il riavvio richiesto dal sistema. Un ripristino di fabbrica non aggiunge le correzioni mancanti e non è una misura necessaria solo perché il bollettino contiene vulnerabilità critiche.
Il punto operativo resta questo: SMR-SEP-2026 è una patch da non rimandare quando arriva sul dispositivo. Le due falle critiche nell’elaborazione delle immagini, insieme ai problemi corretti in rete, servizi di sistema e componenti protetti, rendono l’aggiornamento più importante di un normale pacchetto di manutenzione.
