你唔使㩒任何掣，唔使開任何訊息，甚至連嗰條訊息都唔會見到，部 Android 電話嘅通話功能已經可以死機。呢個就係過去幾日引起保安界關注嘅「SMS of Death」漏洞，編號 CVE-2026-58882。佢唔係偷資料，危險之處在於夠靜、夠快，而且受影響嘅舊機到今日都未有修補。
一條睇唔到嘅短訊，點樣打斷電話
問題出喺 Android 處理 WAP Push 訊息嘅方式。WAP Push 係一種舊式短訊格式，電訊商到今日仍然會喺背後用嚟傳送多媒體訊息通知同網絡設定。呢類訊息喺到達收件匣之前，系統已經會先行處理，所以受害人根本唔會見到可疑訊息，亦無機會選擇唔開。
研究人員公開嘅分析指出，攻擊者只要向目標電話傳送一條只有 8 個位元組、經過特別構造嘅 WAP Push 訊息，Android 喺解讀訊息標頭長度嗰陣就會出錯，將一個數值錯誤轉換成負數，繼而嘗試以負數大小分配記憶體，觸發例外錯誤，令負責通話同流動網絡服務嘅系統程序 com.android.phone 死機。程序死機嗰一刻，進行緊嘅通話會即時斷線，包括打緊去緊急服務嘅電話；手機亦會短暫失去流動網絡服務，直至程序重新啟動。
單一訊息已經夠麻煩，連續攻擊就更嚴重。研究人員測試發現，連續傳送約 20 條惡意訊息，可以令手機陷入不斷重啟嘅循環：每次重啟之後，系統又會再處理同一批惡意訊息，然後再次死機。個別測試裝置甚至要恢復出廠設定先至脫困，而恢復出廠設定會清除手機內嘅資料。
邊啲電話受影響，邊啲已經有修補
有問題嘅程式碼可以追溯到 Android 12。研究人員喺 Pixel 9 同多部 Samsung Galaxy 手機上面，每次都成功重現故障，測試範圍涵蓋 Android 12 至 16。換句話講，呢個唔係某一款手機嘅個別問題，而係橫跨多個 Android 版本嘅系統問題。
修補方面要分清楚兩個組別。Android 14 至 17 嘅裝置，研究人員指 Google 已經喺 2026 年 10 月嘅保安更新入面提供修補，修補程式除咗攔截錯誤，仲會將惡意訊息由短訊資料庫刪除，避免重啟之後又再觸發。但 Android 12 同 13 嘅裝置就未獲同樣修補，至今仍然暴露喺風險之中。呢兩個版本加埋，估計仍然佔約五分之一活躍 Android 裝置，意味受影響嘅唔係少數冷門舊機。
呢度有一個要講清楚嘅時間線矛盾。研究人員話自己早喺 2026 年 5 月 5 日已經向 Google 通報，起初卻被列為非保安問題；但 Android 嘅公開程式碼紀錄顯示，Google 工程師早喺 6 月 15 日已經寫好修補程式。另一方面，CVE-2026-58882 並無出現喺 Google 嘅 2026 年 10 月保安公告入面，而 GrapheneOS 方面就指修補會列入 11 月公告。實際結論係：即使部機已經裝咗 10 月更新，都唔能夠百分百肯定已經包含呢個特定修補，最穩陣係等 11 月公告同更新推出之後再核對一次。
香港用戶即刻要做嘅三件事
- 立即更新：去「設定」→「關於手機」→「Android 版本」，睇下保安更新日期係幾時，有更新就即刻裝。Pixel 由 Google 直接推送，Samsung 同其他品牌就要等廠商各自推送，時間會有先後，唔好因為未收到就當無事。
- 舊機要認真考慮換機：如果部機停留喺 Android 12 或者 13，而且廠商已經唔再提供保安更新，呢個漏洞好可能永遠唔會有官方修補。繼續用落去，等於長期留咗一個可以用一條短訊打斷電話嘅缺口。
- 中招之後唔好亂㩒：如果手機突然無故斷線、失去訊號之後又不斷重啟，唔好第一時間就喺恢復畫面選擇清除資料。有技術能力嘅人可以用電腦配合 Android 開發工具 ADB 清除惡意訊息；唔熟悉嘅用戶，應該搵可信嘅維修店或者電訊商協助，恢復出廠設定應該係最後手段。
值得一提嘅係，今次漏洞屬於阻斷服務攻擊，目的係令電話功能失效，而唔係盜取資料或者取得手機控制權。截至 10 月 31 日，亦未有已確認嘅現實攻擊個案。但示範程式碼已經公開，攻擊門檻已經由「識得搵漏洞」降到「識得用現成工具」，呢個先係最值得警惕嘅轉變。保安漏洞最怕嘅從來唔係技術有幾複雜，而係受害人連防範嘅機會都無——今次正正係咁，唯一真正有效嘅防護就係更新，而舊機連呢個選項都無。
對香港用戶嚟講，呢單新聞嘅實際意義好直接：Android 用戶佔大多數，舊機流通量亦唔細，唔少人屋企可能仲有部 Android 12、13 嘅後備機或者長輩用緊嘅舊機。與其等到電話無故斷線先至處理，不如今日就花兩分鐘檢查一次更新日期，順手幫屋企人部舊機都檢查埋。
資料來源
- BleepingComputer：New Android SMS of Death exploit can remotely crash unpatched phones
- PhoneArena：A simple text message can instantly ruin your phone — here’s how to stop it
- AndroidPure：Android SMS of Death Flaw Can Crash Phones and Drop Emergency Calls
- TechCheatCodes：Android SMS of Death Exploit: How to Check Your Phone
