一条短信打瘫安卓手机 Google拒修称非安全问题

2026年10月29日，独立安全研究者 Mark Blaszczyk 公开了一个名为 “SMS of Death” 的 Android 系统远程拒绝服务漏洞。该漏洞存在于 Android 电话框架 WapPushOverSms 组件中，一条特制 WAP Push 短信即可在用户完全无感知的情况下击垮 com.android.phone 进程，中断所有通话包括紧急呼叫；而 Google 在过去半年内三次将其工单标记为“非安全问题”拒绝修复，全程未分配任何 CVE 编号。

漏洞原理并不复杂。Android 接收到 WAP Push 短信时，WapPushOverSms.decodeWapPdu() 方法会将 WSP 头部长度按 uintvar 解码为 long 类型，随后直接强转为 int 用于分配字节数组，全程没有任何范围检查。一段仅 5 字节的畸形报文 88 80 80 80 00 可被解码为 0x80000000，强转为有符号 32 位整数后恰好等于 -2147483648，执行 new byte[-2147483648] 会抛出未捕获的 NegativeArraySizeException，直接在电话主线程上杀死 com.android.phone 进程。该短信以数据短信形式投递，收件箱中不留任何痕迹，攻击者号码也不会出现在用户手机上，属于典型的零点击、静默攻击。

单次攻击造成 1 至 2 秒的电话服务中断，正在进行的语音通话会以 CS_DEATH 原因被强制挂断，包括正在拨打的紧急电话。研究者在 Pixel 9（2026年4月固件）、多款三星 Galaxy 及 A 系列机型上测试，复现率为 100%。

更严重的是，运营商会自动重发未被确认接收的数据短信，导致崩溃反复触发——测试中一条消息就造成了长达一周的间歇性断服；连续发送约 20 条即可让设备长时间无法使用；若快速连发约 30 条，崩溃会与电话服务写入 SMS 存储的 SQLite 进程产生竞态条件，损坏存放短信数据的数据库，此后设备每次开机读取损坏存储时 com.android.phone 都会立即崩溃，普通重启无法恢复，恢复出厂设置也只能临时缓解——因为运营商仍在重发未确认的恶意报文。彻底恢复需要将物理 SIM 卡取出插入 iPhone 等非 Android 设备让运营商停止重发，再通过 ADB 清理损坏的短信数据库；使用 eSIM 的设备因无法换卡，对普通用户几乎无法自行恢复。

由于攻击可让手机无法拨打紧急电话，澳大利亚的监管流程让这一漏洞的后果进一步放大。澳大利亚《电信（紧急呼叫服务）决定》要求运营商主动识别无法接通 000 的手机、协助用户换机，并最终对无法呼叫紧急电话的设备停止提供服务，Telstra 明确表示 28 天内不处理就会封锁该设备。这意味着攻击者远程制造的“无法拨打紧急电话”状态，会触发监管流程反过来把受害者的手机从运营商网络中拉黑，形成 “远程攻击 → 监管断网” 的连锁后果。

研究者在 2026年5月5日 首次报告当天就提供了一行代码的修复方案——在强转 int 前增加对 rawHeaderLen 小于 0 或大于 PDU 长度的判断。但 Google Android 安全团队先后在三张工单、四位工程师之间流转，最终于 2026年10月29日以"未达到严重等级阈值、属于非安全问题（NSI）"为由作出 Won't Fix 决定。研究者称该漏洞完全符合 Google VRP 自身规则中"破坏性远程 DoS"的定义，但被反复降级处理，最终只能在超过 90 天披露窗口后选择完全公开，以便用户、运营商和下游 OEM 自行评估风险并采取缓解措施。目前概念验证 APK 及完整源码已在 GitHub 上以 Apache 2.0 协议发布，研究者同时警告该武器化程序只能在自有设备或获得授权的设备上测试，干扰他人拨打紧急电话在澳大利亚及多数国家属于严重刑事犯罪。