名为 GhostMap的新型Android漏洞可导致手机在用户安装一款经过特殊构造的应用后陷入无限崩溃循环。这类应用无需用户手动打开，不申请任何权限，甚至本身不包含可执行代码。 Bitdefender实验室的研究人员于2026年11月5日发布了相关研究成果。目前尚未发现该攻击手段被用于针对真实用户。 研究始于2026年8月12日，当时研究人员从野外采集到的一个APK文件导致实验室的测试模拟器崩溃。该文件是一款银行木马投放器，全程没有运行，在安装阶段就触发了故障。 Bitdefender 研究人员确认，该漏洞存在于Android系统本身，而非恶意软件内。恶意软件作者使用加壳工具处理了该文件——这类工具会重写应用的内部结构，阻碍逆向工程分析。但这次重写恰好破坏了Android系统安装阶段读取应用信息的逻辑。 这类攻击手法并非首次出现。2024年派拓网络（Palo Alto Networks）Unit 42团队就曾披露BadPack攻击手法，仅一年内就监测到约9200个相关样本。此前针对BadPack APK加壳器的分析显示，这类经过修改的文件头可以帮助恶意软件绕过分析人员的检测。 APK本质是ZIP格式文件，内部每个文件条目都会标注压缩方式和对应大小。Android系统中有两个系统库负责读取这些字段，但二者的读取逻辑存在差异。 一个库仅对标记为“存储（stored）”格式的条目校验大小，另一个库则会将所有未标记为“压缩（deflated）”格式的条目统一按存储格式处理。如果某个条目的压缩方式字段为异常值，就会落在两个规则的判定缝隙中。 这种情况下，Android系统会按照错误的大小将文件映射到内存中。在一次测试中，一个实际大小仅8408字节的APK，让系统为其分配了近16MB的内存映射空间。当进程读取位置超出文件实际末尾时，CPU会触发SIGBUS错误，内核会直接终止对应进程。 此前Konfety恶意软件也曾使用过类似手法，通过不支持的压缩方式破坏分析工具运行。但这类恶意软件仍可在手机上正常运行，不会导致系统崩溃。 最严重的情况会导致system_server进程崩溃，这一进程承载了Android系统的绝大多数核心功能。应用安装完成后，系统核心服务会读取应用内的一个小型资源文件，随即崩溃重启，之后又会再次读取同一个文件，陷入无限循环。 这种情况下手机永远无法完成启动，崩溃每隔几秒就会重复一次，屏幕上不会显示任何提示告知用户是哪款应用导致的故障。Bitdefender在Pixel 10设备上测试了该漏洞，测试设备运行Android 17系统，已安装2026年8月5日的安全补丁。 测试显示，应用安装完成后约1秒就出现首次崩溃，一次捕获记录显示崩溃重复了110次，安全模式下的测试记录则显示崩溃重复了72次。

安全模式无法解决该问题，因为相关系统服务会在安全模式生效前就读取对应文件。恢复出厂设置可以清除故障，但会删除设备上的所有本地数据。如果用户此前已经开启USB调试，也可以在两次崩溃的间隙通过ADB删除恶意文件。 研究人员梳理了该漏洞的多种可能利用场景。恶意应用可以锁死用户手机并索要赎金，也可以破坏自身的图标文件，导致启动器和设置应用在用户尝试卸载时直接崩溃。 安全扫描工具在扫描这类恶意文件时也会崩溃，导致安全工具无法将这类恶意应用标记为风险。恶意载荷甚至可以在应用安装完成后，通过后续更新推送进入设备。 需要说明的是，该漏洞仅会导致进程崩溃，无法执行代码、窃取数据或提升权限，所有Android 10及以上版本的系统都受影响。 Bitdefender先后在2026年8月20日、8月25日两次向谷歌提交该漏洞报告。谷歌首次以“无法复现，不予修复”为由直接关闭工单；第二次收到报告后，谷歌表示该问题不属于安全更新覆盖范围，已转交相关团队评估，考虑在未来系统版本中修复。 目前该漏洞仍未分配CVE编号，也没有对应的修复补丁。谷歌曾在2016年修复过该逻辑缺陷的一个弱化版本，对应CVE编号为CVE-2016-6724。 Android系统多年来曾多次出现类似的解析逻辑漏洞，包括Master Key、Janus漏洞等。2026年4月的安全公告中也曾披露过一个零交互拒绝服务漏洞，这类案例都说明单个恶意文件就可以轻易对手机造成破坏。 在谷歌推出正式修复方案前，用户应当仅从可信应用商店安装应用，避免侧载来源不明的APK文件。提前开启USB调试可能有助于故障恢复，但该功能本身也存在一定安全风险。 GhostMap Android Flaw Can Trap Phones in Endless Reboot Loops Without Opening an App https://cybersecuritynews.com/ghostmap-android-vulnerability/ 微信扫一扫可打开此内容， 使用完整服务