Android爆重大資安漏洞！「死亡簡訊」不必打開就能癱瘓手機

Android作業系統近日爆出「死亡簡訊」（SMS of Death）資安漏洞，攻擊者只需傳送特殊設計的WAP推播簡訊，即可在使用者毫無操作的情況下觸發通訊服務崩潰，使手機陷入每90秒重新啟動的循環。研究員實測發現，單則惡意簡訊曾造成手機長達1週無法正常連線，約20更可能導致裝置癱瘓。

據德國IT與科技新聞網站《Heise online》的報導，資安研究員馬克布拉什奇克（Mark Błaszczyk）日前正式公開這項潛藏於Android系統內部的安全漏洞，並指出這是1種遠端執行的零點擊拒絕服務攻擊，可能對全球大量Android裝置構成威脅。

與傳統仰賴使用者點擊惡意連結、開啟附件或下載有害程式的網路攻擊不同，這項漏洞的危險之處，在於攻擊者能夠利用1則格式錯誤、經過精密設計的WAP推播簡訊，在使用者毫無察覺的情況下觸發系統異常。受害者甚至不需要開啟訊息或與手機進行任何互動，裝置便可能因為處理這則特殊簡訊而出現問題，導致Android系統中負責處理通話與通訊功能的核心服務崩潰。

更令人擔憂的是，這類惡意簡訊具有相當高的隱蔽性。訊息傳送後，未必會正常顯示在手機的收件匣中，使使用者難以立即察覺自己已經遭到攻擊。即使手機因系統崩潰而重新啟動，問題也未必能夠就此排除。由於裝置在每次開機過程中，可能再次讀取並處理系統內殘留的問題訊息，進而重複觸發相同的故障，導致手機持續陷入崩潰與重啟的循環。

依照漏洞的運作機制，如果問題未能及時獲得修復，受影響的Android手機可能大約每90秒便會自動重新啟動一次，使用者即使嘗試重新開機，也難以恢復正常運作。

布拉什奇克也透過實際測試展示這項漏洞的破壞力。他指出，在實驗環境中，僅僅1則經過特殊設計的惡意簡訊，就曾導致測試手機長達1個星期無法恢復正常的網路連線與通訊功能。若攻擊者累計發送約20條這類特殊訊息，更可能使原本運作正常的智慧型手機陷入幾乎完全無法使用的狀態，甚至持續發生無限重啟的情況。

面對這項安全威脅，Google已經採取修補措施，將相關修復程序納入2026年10月份的Android安全更新。根據目前公開的資訊，這項漏洞涉及Android 12至Android 17等多個世代的作業系統，而Google已針對Android 14至Android 17版本的裝置推送修補程式。不過，相關漏洞細節當時尚未完整列入Google於10月份公開的安全公告中，也使外界更加關注漏洞揭露、修補程式發布與安全資訊公開之間的時間差。

此次事件也凸顯Android裝置在長期安全維護方面面臨的結構性問題。由於Google已經終止對Android 12及Android 13的官方技術支援與維護，仍在市場上使用這兩個版本的手機及其他行動裝置，恐怕無法透過一般官方安全更新取得相應的修補程式。換言之，即使較新版本的Android裝置已經獲得修復，部分舊款手機仍可能持續暴露在這項漏洞的風險之中。