Samsung Internet: la Sua patch di sicurezza mensile non viene mai installata

Una volta al mese, la stessa notifica. Aggiornamento software disponibile, alcune centinaia di megabyte, riavvio. Successivamente, il menu mostra una data aggiornata accanto alla patch di sicurezza e la questione sembra risolta.

Per la maggior parte del sistema ciò è vero. A luglio, l’aggiornamento di Samsung è stato distribuito innanzitutto ai modelli più recenti.

Uno dei componenti più importanti del dispositivo non riceve mai quella patch. Il browser preinstallato riceve i propri aggiornamenti da un’altra fonte, tramite il Play Store e il Galaxy Store. Due percorsi distinti, e solo uno di essi Le viene comunicato.

Non è possibile stabilire dall’esterno quanto sia obsoleto attualmente il nucleo di quel browser. Non perché a nessuno importi, ma perché Samsung non ne pubblica una versione per Android da oltre due anni.

Il motivo per cui tale numero sia così importante diventa chiaro non appena si esamina cosa si nasconde all’interno di un browser di questo tipo.

Il browser di Samsung non è stato sviluppato da zero. Si basa su Chromium, la piattaforma open source su cui poggiano anche Google Chrome, Edge e Opera. Una sua parte si chiama V8 ed esegue JavaScript, il codice di programmazione presente in quasi tutti i siti web. Le vulnerabilità in V8 sono quindi particolarmente delicate: basta aprire una pagina predisposta.

Tali vulnerabilità vengono individuate e risolte e, una volta risolte, vengono documentate pubblicamente, descrizione inclusa. Chiunque desideri attaccare un dispositivo su cui non sia stata applicata la correzione non deve scoprire nulla di nuovo: è sufficiente che si documenti. Il settore definisce questa situazione un «N-day», in contrapposizione a uno «zero-day», di cui nessuno è ancora a conoscenza.

Come ciò si traduca nella pratica è stato dimostrato dalla società di sicurezza OtterSec il 1° aprile 2026, in collaborazione con il gruppo Crusaders of Rust. Per raggiungere tale obiettivo, i ricercatori hanno dovuto compiere operazioni che un utente comune non è in grado di eseguire. Hanno estratto l’applicazione del browser da un Galaxy S25 e hanno cercato il numero di versione nei file di programma. Quello che hanno trovato era V8 13.6, che a quel punto risaliva a mezzo anno prima.

Hanno quindi elaborato un attacco sfruttando una vulnerabilità che Google aveva chiuso da tempo in Chrome. Alla fine sono riusciti a eseguire il proprio codice macchina all’interno del browser e a eseguire codice estraneo a nome di siti web arbitrari. Una pagina appositamente preparata avrebbe potuto accedere in tal modo ai contenuti di altre pagine aperte, ad esempio una casella di posta elettronica o un account presso un negozio online.

Quest’ultimo passaggio ha funzionato solo perché Android isola il browser in modo meno rigoroso rispetto a un computer. Su un PC, praticamente ogni sito web dispone di un proprio processo. Su Android, invece, solo le pagine che richiedono un login e alcune specificatamente contrassegnate ne dispongono di uno. Le altre ne condividono uno.

La ricerca sulla sicurezza ha coniato un termine specifico per indicare questo intervallo: «patch gap», ovvero il lasso di tempo che intercorre tra il momento in cui una vulnerabilità viene corretta a monte nel progetto Chromium e il momento in cui la correzione giunge a valle, presso l’utente. Per tutta la durata di tale intervallo, una serie di istruzioni rimane esposta mentre il dispositivo è ancora vulnerabile. Con Chrome stesso, tale finestra si riduce a pochi giorni, poiché Google sviluppa e distribuisce lo stesso codice. Con un browser gestito da un altro fornitore e distribuito attraverso un canale diverso, tutto dipende dalla rapidità con cui tale fornitore provvede ad aggiornarlo.

Questa specifica vulnerabilità è stata nel frattempo risolta. Ciò che rimane esposto è tutto ciò che è venuto dopo.

Per questo articolo abbiamo cercato di rispondere noi stessi alla domanda: quale versione di Chromium viene attualmente fornita da Samsung sui dispositivi Galaxy?

Non esiste una risposta chiara. Gli identificatori dei browser raccolti pubblicamente, ovvero le stringhe che i dispositivi utilizzano per identificarsi online, si contraddicono a vicenda per una stessa versione dell’app. Alcuni indicano una base risalente a dicembre 2025, altri una molto più recente. Raccolte come queste contengono anche voci falsificate e generate automaticamente, pertanto non costituiscono una prova.

Rimane quindi il produttore, ma per quanto riguarda Android, quest’ultimo non fornisce alcuna indicazione. Le note di aggiornamento suggeriscono che Samsung integri effettivamente le correzioni nella propria build; vi è regolarmente una riga relativa alle vulnerabilità di sicurezza risolte. Quali siano, però, non viene specificato.

Non si tratta di un aspetto di secondaria importanza. L’8 giugno 2026 Google ha risolto una vulnerabilità in V8, classificata come ad alta gravità, e ha segnalato che un exploit relativo a essa era già in circolazione. Se e quando tale correzione sia stata integrata nel browser di Samsung non è documentato pubblicamente.

Per la versione Windows dello stesso browser, rispondere a questa domanda richiederebbe due minuti. Samsung la riporta sulla propria pagina.

In termini pratici, ciò non significa che ogni Galaxy sia esposto al rischio. Significa che nessuno al di fuori di Samsung può verificare se lo sia. Per un programma che apre quotidianamente contenuti esterni provenienti da Internet e che è preinstallato su diverse centinaia di milioni di dispositivi, tale differenza è più rilevante di quanto possa sembrare.

Verificare quale build sia in esecuzione sul proprio dispositivo richiede mezzo minuto. Nella schermata iniziale o nel cassetto delle app, tenga premuta l’icona del browser, quindi, solitamente, tocchi una piccola «i». Le informazioni sull’app mostrano il numero di versione. Anche la scheda del Play Store riporta lo stesso valore.

La presenza di un aggiornamento in attesa viene segnalata sia nel Play Store che nel Galaxy Store. Se è presente un pulsante per l’aggiornamento, significa che è stato effettuato un aggiornamento.

Ciò che quel numero rivela riguardo alla base Chromium sottostante rimane un mistero. È proprio questo il punto.

Chiunque ritenga che ciò sia troppo vago può installare un secondo browser. Chrome e Firefox provengono direttamente dai rispettivi produttori, indicano il numero di versione nel menu e aggiornano le loro basi indipendentemente dal calendario di Samsung. Possono essere impostati come predefiniti nelle impostazioni di Android alla voce «App predefinite».

Chiunque desideri continuare a utilizzare il browser di Samsung, e vi sono validi motivi per farlo, tra cui il blocco degli annunci integrato e l’integrazione con Samsung Pass, dovrebbe almeno lasciare attivi gli aggiornamenti automatici nello store. In tal modo, ogni build rilasciata da Samsung verrà installata automaticamente senza alcun intervento da parte dell’utente. A questo punto non è più possibile esercitare alcun controllo.

La patch mensile rimane comunque importante. Colma le falle nel sistema che nessun aggiornamento del browser è in grado di risolvere. Semplicemente, non è responsabile di tutto ciò che sul dispositivo si connette a Internet.