零互動、一條短訊即癱瘓手機：Android「SMS of Death」PoC 公開

據 BleepingComputer 報導，一名安全研究者已公開針對近期修補的 Android 漏洞的概念驗證（PoC）exploit。該漏洞稱為「SMS of Death」、編號 CVE-2026-58882，攻擊者只需向目標手機發送一條特製短訊，即可遠端干擾蜂窩通訊服務，或令裝置直接當機——全程無需用戶點擊連結、開啟附件或作出任何互動。

PoC 的公開是今次事件的關鍵轉折點：攻擊門檻已由研究人員的專門技能，擴展至任何取得對方電話號碼者即可發動。對 IT 管理層而言，真正的痛點並非資料外洩，而是營運中斷——一部反覆當機的裝置等於一名員工失聯，對需要 24×7 值守、前線支援或外勤手機作業的崗位影響尤其直接。與此同時，不少「看似已升級」的裝置未必真正安全：真正決定風險的是安全修補等級（Security Patch Level），而非 Android 版本號碼，晶片供應商與手機品牌的推送滯後往往令裝置長期落後。據報導未提及研究者身份、晶片廠商回應或野外利用情況；確切的受影響版本與修補月份，仍以官方 Security Bulletin 為準。

以下為本刊依上述報導歸納的因應建議：

一、盤點修補等級（Patch Level）

以 MDM 或資產系統拉出全公司 Android 裝置清單，逐台核對 Security Patch Level，而非只看 Android 大版本。
對照官方 Security Bulletin，確認 CVE-2026-58882 修補是否已落在該裝置的修補月份或之後；確切的修補月份應以官方公告為準。
標記品牌／電商渠道更新滯後的機型，列為優先更換或限制使用名單。

二、MDM 強制執行

設定最低安全修補等級門檻，未達標者暫停存取公司郵件、VPN 與內部應用。
要求裝置開啟自動更新，並限制繞過更新的政策設定。
將「能否收發公司資料」與「是否已套用修補」綁定，避免因人情而開例外。

三、通訊渠道備援

短訊不再是唯一或首選的緊急聯繫渠道；為關鍵崗位建立第二、第三渠道（如即時通訊、語音、衛星或辦公室座機）。
將「短訊服務中斷」納入演練情境，確認團隊知道裝置當機時如何改用備援聯絡方式。

四、驗證碼與 OTP 流程

以下屬本刊風險推演，並非來源報導所述內容：既然攻擊者可反覆令裝置當機或中斷蜂窩服務，依賴短訊接收的一次性密碼（OTP）與驗證碼流程同樣可能受阻，員工屆時既收不到驗證碼、也接不到通知電話。
因此應評估將登入驗證改用驗證器應用程式或推送通知，並為無法收取短訊的緊急情況預設備用驗證碼或管理員重設流程。
對高權限帳戶（VPN 連線、管理後台）優先落實，避免單一短訊渠道成為可用性瓶頸。

五、BYOD 風險分層

個人裝置是最難量化的暴露面：先盤點有多少員工以自有手機處理公司資料，並按風險分層。
以工作設定檔（work profile）容器化公司應用，將個人與公司資料隔離，並套用與公司裝置同樣的修補門檻。
對拒絕更新的 BYOD 裝置執行「不更新即不接入」政策，寧可限制存取，也不要承擔整體中斷風險。

對香港這類行動辦公與 BYOD 文化普及的環境而言，這類無需互動、成本極低的遠端拒絕服務漏洞，值得納入例行的流動裝置合規指標之中；但個別本地機構是否已就此採取行動，仍待各自公告確認。