安卓高危0Day漏洞可远程获取Shell访问权限

谷歌发布了2026年5月安卓安全公告，向生态圈通报了一个极其严重的远程代码执行（RCE）漏洞。该漏洞编号为CVE-2026-0073，存在于安卓系统核心组件的深层。

漏洞技术细节

这个高危漏洞能让攻击者在无需设备所有者任何点击、下载或交互的情况下，直接获取远程shell访问权限。威胁行为者可在近距离发动这种”零点击”攻击，仅需与目标设备处于同一本地网络或物理邻近位置即可利用漏洞。

漏洞根源在于adbd（Android Debug Bridge守护进程）子组件。这个系统服务原本是供开发者与设备通信、运行终端命令及修改系统行为所用。由于该漏洞允许攻击者以”shell”用户身份执行远程代码，因此能绕过常规应用沙箱防护，既不需要特殊执行权限，也无需用户交互即可成功部署恶意负载。

影响范围与修复方案

由于adbd服务是通过Google Play系统更新分发的Project Mainline组件，该漏洞影响多代操作系统版本。目前安卓14、15、16及16-QPR2设备均存在风险。谷歌已在2026年5月1日的安全补丁中修复该问题，所有安卓硬件合作伙伴均提前至少一个月收到漏洞通知以便准备OTA固件更新。

对应源代码补丁也已推送至安卓开源项目（AOSP）代码库，以确保更广泛生态系统的平台稳定性。设备所有者必须立即安装最新安全更新以防范潜在攻击。用户可通过系统设置查看安全补丁级别是否为2026年5月1日或更新版本，同时建议手动检查待处理的Google Play系统更新，因为部分运行安卓10及以上版本的设备可能通过该渠道接收针对性组件补丁。

原文来源：谷歌