安卓12至17曝死亡短信漏洞 一条WAP Push可致通话全瘫

安全研究员Mark Blaszczyk于10月29日公开披露名为“SMS of Death”的安卓高危漏洞（CVE-2026-58882），攻击者仅需发送一条构造异常的WAP Push短信，即可远程导致设备通话功能完全失效，包括正在拨打的紧急电话也会被强制中断。该漏洞源于系统对WAP Push协议的处理缺陷：当接收到格式错误但结构完整的WAP消息时，com.android.phone进程会陷入无限重试解析状态，最终资源耗尽崩溃；测试中约20条此类短信即可使设备半瘫痪，若运营商因重传机制反复推送，设备甚至可能无限重启。恶意短信不会出现在收件箱或通知栏，用户无法察觉，也无法手动删除；即使恢复出厂设置，只要运营商再次推送，漏洞仍会复现，因其根源在系统服务逻辑而非用户数据区。漏洞影响安卓12至17版本，Blaszczyk于5月5日首次提交报告，Google于6月15日完成修复，补丁增强异常消息容错能力，改为直接丢弃并记录日志，最终随2026年10月安全更新发布。Google Pixel与三星Galaxy系列已验证攻击路径真实存在。当前大量旧机型（尤其停止更新的中低端及运营商定制机）仍暴露风险，临时缓解需通过ADB清除缓存，操作门槛高。该漏洞属零交互远程拒绝服务攻击，不依赖用户点击、不窃取数据，仅利用协议栈缺陷实现静默致瘫，危害在于成本低、隐蔽强、破坏直接。安卓生态碎片化延缓补丁落地，截至2026年10月，全球超35%活跃安卓设备运行无安全支持的旧系统。专家建议用户及时更新系统，无法升级者可尝试开启未知来源短信拦截或联系运营商关闭WAP Push服务；行业亟需强化通道级防护，推动协议层默认拒绝异常输入与服务降级机制。目前尚无大规模利用迹象，但技术细节已公开，风险不容忽视。