Android 作業系統長期以來都面臨嚴峻的安全挑戰，近期行動安全新創公司 Bluebox 揭露了一個自 Android 1.6（甜甜圈版）以來就存在的核心漏洞，影響高達 99% 的 Android 設備。該漏洞允許駭客在不破壞應用程式數位簽章的前提下，修改 APK 檔案並植入惡意程式碼，進而竊取用戶數據、建立行動殭屍網路，甚至完全接管裝置。

研究人員指出，這個漏洞源於 Android 應用加密驗證機制的缺陷。正常情況下，Android 會記錄應用首次安裝時的數位簽章，後續更新必須匹配該簽章以確保來源一致，這是保護應用沙盒內敏感資料的關鍵防線。然而，漏洞使得駭客能為已驗證簽章的 APK 注入惡意代碼而不破壞簽章，繞過安全檢查。

Bluebox 首席技術官 Jeff Forristal 表示，若駭客取得廠商預裝應用的固件平台金鑰，便能升級系統組件，使惡意代碼獲得最高權限，進而存取所有應用、數據、帳號、密碼及網絡流量，幾乎可完全操控裝置。傳播管道包括電子郵件、第三方應用商店、網頁植入、USB 傳輸等，其中第三方應用商店已被證實為主要傳播途徑。值得慶幸的是，Google Play 已部署有效防禦措施，暫時阻絕了此類攻擊。

這起漏洞再次引發關於 Android 安全架構的討論：是因為市佔率高而成為攻擊焦點，還是其本身存在系統性缺陷？用戶應保持警惕，優先從官方渠道下載應用，並及時套用系統安全更新。