Android遭揭露「死亡簡訊」漏洞，可癱瘓手機通訊服務

資安研究人員Mark Blaszczyk近日揭露Android通訊服務漏洞CVE-2026-58882，將其稱為「SMS of Death」（死亡簡訊）。攻擊者只要知道受害者的電話號碼，就能傳送特製的WAP Push簡訊發動零點擊阻斷服務攻擊，無須使用者開啟訊息或點擊連結，由於這類訊息不會出現在收件匣，受害者也無法辨識寄件者。

該漏洞源自Android的WapPushOverSms元件，系統解析簡訊標頭長度時，未適當檢查數值範圍，導致攻擊者可利用特製資料觸發負陣列大小例外，造成負責行動通訊功能的com.android.phone程序崩潰，通話隨之中斷，連緊急電話也可能受到影響。研究人員指出，電信業者重新傳送未成功接收的訊息，或系統開機時再次處理佇列中的惡意訊息，都可能引發連續當機，只需大約20則惡意訊息，甚至可能使手機長時間無法正常使用。

Google於11月發布的Android資安公告，已將此漏洞列為重大等級的阻斷服務問題，影響範圍涵蓋Android 14至17，研究人員則指出此漏洞可往前追溯至Android 12，並已公開概念驗證程式，建議使用者儘速安裝手機廠商提供的最新更新。