Android WAP Push 零點擊漏洞：
一封簡訊癱瘓通話功能，連緊急電話都打不出去

發生了什麼

想像你正在開車，突然需要撥打緊急電話。你拿起手機撥 110，通話接通了。就在這時候，你的手機收到一條簡訊——你不會看到它，它不會出現在收件匣，也不會有任何通知。但就在背景，你的手機正在處理這條只有 8 位元組的 WAP Push 訊息。突然，通話中斷了。螢幕顯示「com.android.phone 已停止運作」。

這不是科幻情節。2026 年 10 月 31 日，安全研究員 Mark Blaszczyk 公開了一個 Android 零點擊漏洞（CVE-2026-58882），攻擊者只需知道目標的手機號碼，就能發送一條惡意 WAP Push 簡訊，讓手機的通話功能崩潰，包括正在進行中的緊急電話。

更糟的是，這條訊息會被電信業者重複傳送（因為手機沒有回應確認），造成手機持續崩潰。如果攻擊者連續發送 20 條這樣的訊息，手機可能陷入重開機迴圈，每 90 秒重啟一次，最終進入 recovery mode，畫面會提示使用者「清除資料」。大多數非技術使用者會照做，結果所有資料都消失了。

Google 在 2026 年 6 月 15 日就已經提交修補程式到 AOSP，並包含在 Android 14–17 的 2026 年 10 月安全性更新中。但 Android 12–13 裝置因超出官方支援期，不會收到修補。研究員在 10 月 31 日公開技術細節與概念驗證程式碼。

來源：本文整理自 BleepingComputer、研究員 Mark Blaszczyk 的技術分析（Random Chaos）、Cyber Kendra 與 heise online 於 2026 年 10 月 30–31 日發布的報導。BleepingComputer 報導、研究員技術分析

什麼是 WAP Push

WAP Push 是一個已有二十多年歷史的簡訊格式,電信業者用它來發送隱藏的配置指令到手機，例如 MMS 通知、電信業者設定等。它是資料簡訊（data SMS）的一種，發送到特定的 port（2948），不會出現在一般的簡訊收件匣中。

Android 會自動處理收到的 WAP Push 訊息，使用者不需要（也無法）做任何動作。這個設計本來是為了方便——使用者不需要手動輸入電信業者設定。但這也代表：攻擊者可以發送一條使用者完全看不到的訊息，Android 會在背景自動處理它，而如果處理過程中出錯，使用者甚至不知道是什麼訊息造成的。

漏洞的技術細節：負數陣列配置

漏洞位於 WapPushOverSms.decodeWapPdu() 函式。當 Android 收到一條 WAP Push 訊息時，這個函式會讀取 WSP（Wireless Session Protocol）header 的長度。問題是：

1. Header length 是一個可變長度整數（uintvar），可以編碼成非常大的數字
2. 解碼器回傳一個 long 型別（64 位元）
3. 程式碼直接將它轉型為 int（32 位元有符號整數），沒有檢查範圍
4. 這個 int 值被用來配置一個新的陣列：byte[] header = new byte[headerLength];

攻擊者可以構造一個 5 位元組的 header length 值 88 80 80 80 00，解碼後是 0x80000000。當這個值被轉型為 32 位元有符號整數時，因為最高位元是 1（代表負數），結果變成 -2,147,483,648。

系統嘗試執行 new byte[-2147483648]，觸發 NegativeArraySizeException。這個異常在 telephony 主執行緒上發生，而且沒有被捕捉，導致整個 com.android.phone 處理程序崩潰。

攻擊有多簡單

攻擊者需要的只是目標的手機號碼。惡意訊息只有 8 位元組：

01 06 88 80 80 80 00 BE

這條訊息以資料簡訊的形式發送到 port 2948。研究員已經公開了一個 Android app 的概念驗證程式碼，可以從另一支 Android 手機發送這樣的訊息。

為什麼這比一般崩潰更嚴重

一、中斷緊急電話

com.android.phone 是管理所有通話與行動網路連線的系統處理程序。當它崩潰時，所有正在進行的通話都會立刻中斷，包括緊急電話（在澳洲是 Triple Zero，在台灣是 110、119）。

通話會以 DisconnectCause CS_DEATH 的狀態結束——意思是「系統處理程序死亡」。

研究員特別強調，這不是「只是讓手機當機」的普通漏洞。在澳洲，根據 Telecommunications (Emergency Call Service) Determination，行動服務必須確保能撥打緊急電話。如果手機無法撥打緊急電話，電信業者 Telstra 有義務通知客戶並在 28 天內封鎖該手機。攻擊者可以遠端讓受害者的手機進入這個狀態，導致手機被電信業者封鎖。

二、持續崩潰與重開機迴圈

因為這條訊息是發送到 telephony 系統，Android 會將它存入 raw SMS 資料庫（content://sms/raw）。如果訊息處理失敗，Android 會在下次開機時重試。同時，如果手機沒有回應確認，電信業者會重複傳送這條訊息。

結果是：一條惡意訊息可能造成長達一週的間歇性斷線。

研究員測試發現，如果攻擊者連續發送 20 條這樣的訊息，手機會陷入嚴重的崩潰迴圈。在 Android 12 裝置上，手機會不停重開機，大約每 90 秒就重啟一次，最終進入 recovery mode。Recovery 畫面會提示使用者「清除資料」（Wipe data）。

大多數非技術使用者會照做，結果所有資料都消失了——照片、聯絡人、訊息、應用程式資料。

三、零點擊，完全隱形

這是一個零點擊漏洞：

• 受害者不需要點開簡訊
• 受害者不需要回覆或執行任何動作
• 訊息不會出現在收件匣
• 受害者看不到發送者的號碼
• 受害者不會收到任何通知

攻擊是完全隱形的。受害者只會看到「com.android.phone 已停止運作」，但不知道是什麼訊息造成的。

復原方法：需要專業工具

如果手機已經陷入重開機迴圈，有兩種復原方法：

方法一：恢復原廠設定（資料全失）

在 recovery mode 選擇「清除資料 / 恢復原廠設定」。這會清除所有資料，包括惡意訊息，但也包括你的所有照片、聯絡人、應用程式資料。

研究員特別警告：除非你已經備份所有資料，否則不要選這個選項。

方法二：使用 ADB 手動刪除惡意訊息（技術門檻高）

需要一台電腦、安裝 Android Debug Bridge (ADB) 工具、手機開啟開發者選項與 USB 偵錯、在手機重開機的短暫視窗內連接並執行指令。

步驟：

1. 等待手機開機完成（sys.boot_completed = 1）的短暫視窗
2. 使用 ADB 查詢 raw SMS 資料庫中 port 134020 (0x20C04 = 2948) 的訊息
3. 暫時授予 shell 寫入 SMS 的權限
4. 刪除惡意訊息
5. 撤銷權限

adb shell content query --uri content://sms/raw --projection _id:destination_port:date:deleted
adb shell cmd appops set com.android.shell WRITE_SMS allow
adb shell "content delete --uri content://sms/raw --where \"address='<發送者號碼>'\""
adb shell cmd appops set com.android.shell WRITE_SMS default

這個方法由 GitHub 使用者 @sakisdog 提出。但對於大多數非技術使用者來說，這個門檻太高了。

哪些裝置受影響

研究員在以下裝置上重現了這個漏洞，成功率 100%：

• Pixel 9（執行 2026 年 4 月韌體）
• 多款 Samsung Galaxy 與 Galaxy A 系列手機

漏洞影響 Android 12–17，但只有 Android 14–17 會收到修補。

Google 的修補與揭露爭議

時間軸：

• 2026 年 5 月 5 日：Mark Blaszczyk 向 Google 的 Android Vulnerability Reward Program 通報漏洞，並提出修補建議（在型別轉換前檢查範圍）
• 2026 年 6 月 15 日：Google 提交修補程式到 AOSP（commit 735d967，標題「Fix remote DoS in decodeWapPdu」）
• 2026 年 7 月中：修補程式包含在 security preview patches 中，提供給裝置製造商
• 2026 年 10 月 27 日：研究員詢問進度（已經三個月沒有回應）
• 2026 年 10 月 29 日：Google 回覆「不符合嚴重性門檻」，將其歸類為非安全性問題
• 2026 年 10 月 30–31 日：研究員公開技術細節與 PoC

修補內容

Google 的修補方式與研究員建議的不同。研究員建議在型別轉換前檢查範圍；Google 選擇：

1. 擴大捕捉的異常類型，從 ArrayIndexOutOfBoundsException 擴大到 RuntimeException，讓 NegativeArraySizeException 也被捕捉
2. 如果解碼失敗，從 raw SMS 資料庫中刪除這條訊息，避免重開機時重試

修補程式已包含在 Android 14–17 的 2026 年 10 月安全性更新中。但這個漏洞沒有列在 2026 年 10 月的安全性公告中，預計會列入 11 月公告。

揭露爭議

Google 在提交修補程式時，沒有通知研究員，也沒有引用研究員的回報編號，而是引用了一個內部 Google bug 編號。研究員在三個月後詢問進度，Google 回覆說這個漏洞「不符合嚴重性門檻」，歸類為非安全性問題。

研究員決定公開，理由是：

1. 修補程式已經在 AOSP 公開了（任何人都能看到）
2. 研究員提前通知了澳洲電信業者
3. 已經超過 VRP 的 90 天揭露期限

Android 12–13 使用者怎麼辦

Android 12–13 裝置不會收到修補，因為它們已經超出 Google 的官方支援期。

如果你使用 Android 12 或 13：

1. 考慮升級到 Android 14 或更新版本（如果你的裝置支援）
2. 考慮更換到支援 Android 14 或更新版本的新機型
3. 如果無法升級，理解風險：你的手機可能被這個攻擊癱瘓，包括無法撥打緊急電話

eSIM 使用者的處境更困難

如果你使用 eSIM（嵌入式 SIM，不是實體 SIM 卡），受到攻擊時的應對選項更少。

使用實體 SIM 卡的人，如果手機陷入崩潰迴圈，可以拔出 SIM 卡，暫時斷開與電信網路的連線，阻止電信業者重複傳送惡意訊息。這不會修復問題，但能爭取時間尋求專業協助。

但 eSIM 無法拔出。唯一的選項是：

1. 開啟飛航模式（如果手機開機時間夠長讓你操作）
2. 使用 ADB 刪除惡意訊息（需要電腦與技術知識）
3. 恢復原廠設定（資料全失）

有觀點指出「eSIM 最難脫身」，這個說法與技術分析一致。

如何檢查你的手機是否安全

檢查安全性更新等級

1. 開啟設定
2. 進入關於手機（或關於裝置）
3. 點選 Android 版本
4. 檢視 Android 安全性更新等級（Security patch level）

如果顯示 2026-10-01 或更新的日期（例如 2026-10-05、2026-11-01），你已經受到保護。

如果顯示更早的日期（例如 2026-09-01），你需要安裝更新。進入設定 → 系統 → 系統更新，檢查是否有可用的更新。

注意：安全性更新的釋出時程取決於裝置製造商與電信業者。Google Pixel 裝置通常最快收到更新；其他品牌可能需要數週到數月。

如果你的手機已經出現異常

如果你的手機出現以下症狀，可能已經受到攻擊：

• 通話突然中斷，顯示「com.android.phone 已停止運作」
• 手機不停重開機
• 行動網路連線不穩定，每隔一兩秒就斷線

不要在 recovery 畫面選擇「清除資料」，除非你已經備份所有資料。尋求專業協助，使用 ADB 工具刪除惡意訊息。

你可以學到什麼

站在攻擊者的角度：我只需要你的手機號碼。我發送一條 8 位元組的 WAP Push 簡訊，你的手機會在背景自動處理它，com.android.phone 就會崩潰。你正在撥打的緊急電話會立刻中斷。我不需要你點開簡訊、不需要你回覆，你甚至不會知道發生了什麼。如果我連續發送 20 條，你的手機會陷入重開機迴圈，每 90 秒重啟一次，recovery 畫面會叫你「清除資料」。大多數人會照做，然後所有資料都消失了。

站在防禦者的角度：這是一個零點擊遠端阻斷服務攻擊，我無法透過「不要點開可疑連結」「不要安裝不明應用程式」來防禦。唯一的防禦是安裝安全性更新。如果我的裝置是 Android 12 或 13，官方不會再修補，我需要考慮升級或更換裝置。如果我已經受到攻擊，我需要專業工具（ADB）才能復原，否則只能恢復原廠設定，失去所有資料。

lessons本案的 9 個教訓

1. 01
   零點擊漏洞無法透過使用者行為防禦：受害者不需要點開、不需要回覆、甚至看不到訊息，唯一的防禦是安裝安全性更新。
2. 02
   WAP Push 是自動處理的隱形通道：電信業者用它發送配置指令，使用者完全看不到，攻擊者可以利用這個通道發送惡意訊息。
3. 03
   型別轉換的範圍檢查至關重要：未檢查範圍的型別轉換（從 long 到 int）導致負數陣列配置，觸發異常並崩潰。
4. 04
   持久化的惡意訊息會造成重複崩潰：訊息存入資料庫後，每次開機都會重試，加上電信業者重複傳送，造成長達一週的間歇性斷線或重開機迴圈。
5. 05
   中斷緊急電話的漏洞特別嚴重：這不只是「讓手機當機」，而是讓手機無法撥打緊急電話，在某些國家（如澳洲）可能導致手機被電信業者封鎖。
6. 06
   eSIM 使用者的應對選項更少：無法像實體 SIM 卡一樣拔出，只能透過軟體停用，但如果手機陷入快速重開機迴圈，操作視窗非常短。
7. 07
   Android 12–13 已超出支援期：不會收到修補，使用者需要考慮升級到 Android 14 或更換裝置。
8. 08
   Recovery 畫面的「清除資料」選項是陷阱：大多數非技術使用者會照做，結果所有資料都消失了。正確的做法是使用 ADB 刪除惡意訊息。
9. 09
   安全性更新的釋出時程取決於製造商：Google Pixel 最快，其他品牌可能需要數週到數月。

keywords重點學習：最需要學習的 10 個關鍵字8 個

1. 01
   WAP Push

   一個二十多年歷史的簡訊格式，電信業者用來發送隱形配置指令，Android 會自動處理，不會出現在收件匣。
2. 02
   零點擊漏洞（zero-click）

   不需要使用者互動就能觸發的漏洞，這個案例中受害者不需要點開、回覆或執行任何動作。
3. 03
   com.android.phone

   Android 系統中管理所有通話與行動網路連線的處理程序，崩潰時會中斷所有通話包括緊急電話。
4. 04
   NegativeArraySizeException

   嘗試配置負數大小的陣列時觸發的 Java 異常，這個案例中因為未檢查範圍的型別轉換導致。
5. 05
   AOSP（Android Open Source Project）

   Android 的開源專案，Google 的修補程式提交到這裡後，所有人都能看到。
6. 06
   CVE-2026-58882

   這個漏洞的官方編號，雖然未列在 2026 年 10 月公告中，但預計列入 11 月公告。
7. 07
   ADB（Android Debug Bridge）

   Android 的偵錯工具,需要電腦與技術知識，可用來手動刪除惡意訊息，避免恢復原廠設定。
8. 08
   eSIM（嵌入式 SIM）

   無法拔出的 SIM 卡，受到攻擊時只能透過軟體停用，應對選項比實體 SIM 卡少。

try today今天就可以來試試約 5 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

1. 檢查你的 Android 安全性更新等級

   設定 → 關於手機 → Android 版本 → 檢視「Android 安全性更新等級」

   看到什麼代表什麼：如果顯示 2026-10-01 或更新，你已經受到保護。如果更早，需要安裝更新。
2. 如果有可用的更新，立即安裝

   設定 → 系統 → 系統更新

   看到什麼代表什麼：裝置會檢查並下載可用的更新。安裝後需要重新開機。
3. 如果你使用 Android 12 或 13，評估是否能升級
   看到什麼代表什麼：進入設定 → 系統 → 系統更新，檢查是否有 Android 14 或更新版本的升級。如果沒有，考慮更換裝置。
4. 備份你的手機資料
   看到什麼代表什麼：使用 Google 備份或裝置製造商的備份服務，確保照片、聯絡人、訊息都有備份。如果手機受到攻擊，你可能需要恢復原廠設定。
5. 如果你使用 eSIM，記下電信業者的客服電話
   看到什麼代表什麼：如果手機受到攻擊，你可能需要聯繫電信業者停用 eSIM 或改用實體 SIM 卡。

如果你使用 Android 手機

1. 今天就檢查安全性更新等級：設定 → 關於手機 → Android 版本。如果不是 2026-10-01 或更新，立即安裝更新。
2. 如果你使用 Android 12 或 13，評估升級或更換：官方不會再修補這些版本，你的手機可能被這個攻擊癱瘓。
3. 備份你的資料：如果手機受到攻擊，你可能需要恢復原廠設定。確保照片、聯絡人、訊息都有備份。
4. 如果手機出現異常重開機，不要選「清除資料」：尋求專業協助使用 ADB 工具復原，避免失去所有資料。
5. 關注裝置製造商的更新公告：Pixel 以外的裝置可能需要數週到數月才會收到更新，持續關注。

這個漏洞的概念驗證程式碼已經公開，攻擊門檻極低。今天就檢查你的安全性更新等級。

來源

• BleepingComputer 報導（2026-10-31）
• 研究員 Mark Blaszczyk 技術分析（Random Chaos, 2026-10-30）
• Cyber Kendra 報導（2026-10）
• heise online 報導（2026-10-31）

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

複製提示詞允許 AI 直接修正（每項修改前仍會先問我）先看內容

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

延伸閱讀

• Cisco ASA 與 FTD SSL VPN 漏洞遭野外利用讓防火牆重啟的 DoS（CVE-2026-76418，CVSS 8.6）每日拆解 · 2026-10-29
• Microsoft Authenticator Android 版讓無權限惡意 app竊取企業帳號 token每日拆解 · 2026-10-27

newsletter

下一篇拆解直接寄到信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。

訂閱

先寄一封確認信，按了才算訂閱；每封信都有一鍵退訂。