特製 Android App 一裝即無限重啟，Google 不作安全修補

一個從未打開、亦沒有要求任何權限的 Android App，只要安裝了，就可以令手機不停重啟，最後要清除所有資料才救得回。據 Bitdefender 在 11 月 5 日公布的研究，漏洞影響 Android 10 或以後的版本，連 Google 的 Pixel 10 亦受影響。重啟和安全模式都無效，大部分用戶只能恢復原廠設定。Bitdefender 在 8 月兩度向 Google 報告，第一次被以「無法重現」為由結案，第二次 Google 表示不會以安全更新修補。

Moby Dick2026年11月6日 00:48 HKT閱讀 3 分鐘

安裝一個 App 就令 Android 手機不停重啟

據 Bitdefender Labs 在 11 月 5 日發表的研究，一個特製的 Android App 只要安裝到手機上，即使用戶從未打開、亦沒有授予任何權限，都可以令手機陷入不停崩潰、重啟的循環。Bitdefender 把這個漏洞命名為 GhostMap。

研究指，這個 App 不含任何可執行程式碼，亦毋須運行。安裝後，Android 一個核心系統程序會崩潰、重啟，然後再崩潰。重啟手機無效，進入安全模式亦無效。

唯一出路往往是恢復原廠設定

Bitdefender 指，要令手機恢復正常，一般要恢復原廠設定，即刪除手機內所有本機資料。只有在用戶事前已開啟 USB 偵錯的情況下，才可以用電腦透過 ADB（Android 偵錯橋接工具）在系統再次崩潰前刪走問題檔案。

據 BleepingComputer 報道，研究人員用一部 Pixel 10 測試，手機運行 Android 17 及 8 月 5 日的安全修補程式。安裝 App 約一秒後就開始崩潰，在正常模式下循環了 110 次，在安全模式下亦循環了 72 次。Bitdefender 指，Android 10 或以後的版本都受影響。

漏洞源於兩個系統元件對同一個檔案有不同理解

Android 的 App 安裝檔（APK）其實是一個 ZIP 壓縮檔。Bitdefender 指，Android 其中一個元件只會為「未壓縮」的項目檢查檔案大小，另一個元件卻把所有「非壓縮格式」的項目都當作未壓縮處理。特製的 APK 利用這個落差避過大小檢查，令系統把檔案映射到從未分配的記憶體，程序一讀取就崩潰。

由一個銀行木馬樣本意外發現

日期（2026 年）	事件
8 月 12 日	一個在網上收集到的銀行木馬安裝檔令 Bitdefender 的分析模擬器崩潰
8 月 20 日	首次向 Google 報告，被以「無法重現」為由結案
8 月 25 日	再次報告並附上概念驗證，Google 指不在安全更新範圍內
11 月 5 日	Bitdefender 公開研究

Bitdefender 強調，樣本作者看來並不知道檔案會令系統崩潰，把它升級成持續重啟循環的是研究人員自己，暫時未見有人在現實中利用。不過研究指，理論上攻擊者可以把這個技巧藏在假 App 內，令受害人的手機無法使用，甚至以資料被清除作勒索籌碼。

Google 不會以安全更新修補

據 Bitdefender 引述 Google 的第二次回覆，Google 認為事件不屬安全更新的修補範圍，已轉交相關團隊，考慮在日後的版本更新中處理。BleepingComputer 指已向 Google 查詢修補進度，暫時未獲回覆。

Bitdefender 又指，Google 曾在 2016 年 11 月修補一個較輕微的同類漏洞（CVE-2016-6724），當時評為「中等」嚴重程度，但按 Google 現行的評級指引，同類問題應評為「高」。由於只能在安裝時攔截，第三方保安程式最多只能發出警告，無權阻止安裝。

來源

GhostMap: The Android flaw that crashes your phone before you open the app（Bitdefender Labs，原始研究）
GhostMap Android flaw lets malicious app trigger persistent boot loop（BleepingComputer）
GhostMap Android Flaw Can Cause a Crash Loop That Needs a Factory Reset（AndroidPure）

2007 年今日 Google 公布 Android：34 間企業組開放手機聯盟

手上 Android 手機用的系統，當年 Google 是以開放平台而非自家手機推出。2007 年 11 月 5 日，Google 聯同另外 33 間公司成立開放手機聯盟，公布 Android：包括作業系統、中介軟件、用戶介面及應用程式的整套手機軟件，開源發布，廠商可自由改動。創會成員包括中國移動、HTC、Motorola、Samsung 及 Qualcomm。Google 行政總裁 Eric Schmidt 表示，平台將驅動數以千款不同型號的手機。2008 年 9 月 23 日，T-Mobile 發布首部 Android 手機 G1。

深圳廠商在 130 萬部機頂盒植入後門 Google 封殺 Videostrong

一間深圳廠商在自家生產的逾 130 萬部 Android TV 機頂盒預先裝了後門，再把控制權賣給犯罪集團。 Google 威脅情報小組指，Videostrong Technology 把後門 x.cpe 植入機頂盒韌體，用戶刪除後，重新開機又會自動裝回。犯罪集團用這些機頂盒轉發別人的網絡流量及做廣告欺詐。 Google 已禁止 Videostrong 生產經認證的 Android 設備，並估計連帶切斷至少 1,000 萬部其他受感染設備。