Android 被揭露一個稱為「SMS of Death（死亡簡訊）」的漏洞 CVE-2026-58882：攻擊者只要知道你的手機號碼，傳一則特製的 WAP Push 資料簡訊，就能讓負責通話功能的系統程序當機，正在講的電話（包括緊急電話）會被切斷；訊息不會出現在收件匣，使用者完全看不到。研究人員已公開概念驗證程式，Google 也在 11 月 Android 資安公告中把它列為「重大」等級。重點是：Android 14～17 有修補，Android 12、13 沒有。
事件經過
- 5/5：獨立研究人員 Mark Blaszczyk 向 Google 通報此漏洞（CyberInsider）。
- 10/29：研究人員公開技術分析與概念驗證程式（CyberInsider、BleepingComputer）。
- 10 月：研究人員表示 Google 已在 10 月更新中針對 Android 14～17 修補（修正名稱「Fix remote DoS in decodeWapPdu」），但當時 10 月公告並未列出此 CVE（BleepingComputer）。
- 11 月：Google 11 月 Android 資安公告正式列出 CVE-2026-58882，評為重大等級的系統元件問題，修補等級為 2026-11-01，涵蓋 Android 14 到 17（CyberInsider、iThome）。
重點
| 項目 | 內容 |
|---|---|
| CVE | CVE-2026-58882（SMS of Death） |
| 類型 | 零點擊遠端阻斷服務（DoS） |
| 觸發方式 | 送到手機的特製 WAP Push 資料簡訊，不會進收件匣 |
| 受害元件 | WapPushOverSms 解析標頭長度時未檢查範圍，導致 com.android.phone 崩潰 |
| 後果 | 通話中斷（含緊急電話）、行動網路中斷；大約 20 則惡意訊息可能讓手機反覆重開 |
| 已修補版本 | Android 14、15、16、17；安全性修補程式等級 2026-11-01 以上 |
| 未修補 | Android 12、13（研究人員指漏洞可追溯至 Android 12） |
| PoC | 已公開 |
- 為什麼難纏：電信業者會重送未成功送達的訊息，手機重開後也會再處理佇列中的訊息，所以可能一直當機；研究人員在一台 Android 12 手機上測到約每 90 秒重開一次，最後只能恢復原廠設定（BleepingComputer）。
- 目前沒有大規模實際利用的公開證據，但 PoC 已公開，門檻不高。
- Google 的修補除了攔截例外，也會把簡訊資料庫裡的惡意訊息刪掉，避免開機後重複觸發（BleepingComputer）。
- 同一份 11 月公告還修補了多個重大遠端程式碼執行漏洞（如 CVE-2026-58868），以及聯發科數據機、高通元件的重大漏洞；2026-11-05 修補等級才涵蓋整份公告（CyberInsider）。
對你的實務建議
一般用戶
- 檢查安全性修補程式等級：「設定 → 關於手機／系統 → Android 版本」查看「Android 安全性更新」日期，最好是 2026-11-01 或之後；至少要有 2026 年 10 月的更新。
- 立刻手動檢查更新：Pixel、三星、小米、OPPO 等各廠商推送時間不同，同樣 Android 版本不代表同一天收到；更新後記得重新開機。
- Android 12、13 的手機要有心理準備：目前沒有官方修補，主要聯絡用、或家中長輩的緊急聯絡手機，建議評估換成仍有更新支援的機型。
- 手機反覆斷線、重開時：先用另一支電話處理緊急聯絡；不要急著恢復原廠設定，先備份資料，再向電信業者或手機原廠客服求助。
- 買二手機或便宜機時：看清楚廠商承諾的安全更新年限，台幣省幾千元，換來沒有更新的手機不划算。
企業／IT 管理者
- 用 MDM 盤點公務 Android 手機：列出 Android 版本與修補等級，要求 2026-11-01 以上，Android 12／13 列入汰換清單。
- 值班、客服、緊急應變用手機優先處理：這些手機一旦被斷話影響最大，必要時準備備援門號或市話。
- 向電信業者確認是否有網路端過濾：詢問是否能過濾異常的 WAP Push 資料簡訊（屬於緩解，非根治）。
發表留言