印第安納大學與微軟安全研究團隊聯合發表論文，揭露安卓系統存在一類名為「Pileup」（Privilege Escalation through Upgrade）的新型漏洞。研究發現 6 個不同的 Pileup 漏洞存在於所有 Android 開源項目版本中，影響超過 3500 款定制 ROM，全球逾 10 億設備面臨風險。

漏洞成因

安卓系統每次 OTA 升級都會新增/替換數萬個文件，並重新配置應用沙箱與特權。這一複雜的更新邏輯導致：惡意應用在升級前申請的普通權限，升級後可能自動獲得系統級特權，而用戶完全不知情。研究人員在 Package Management Service (PMS) 中證實了 6 種利用路徑。

影響與修復

漏洞允許惡意代碼在無需用戶交互的情況下提升權限，進而竊取數據、訂閱付費服務或植入持久化後門。谷歌已確認並修復其中一個漏洞，其餘漏洞修復補丁正陸續推送至各廠商。用戶應盡快安裝系統安全更新，並避免安裝來路不明的應用。