重點整理
- OnePlus手機漏洞讓惡意App不需權限即可取得Root最高控制權。
- 攻擊屬本地端行為，必須先安裝惡意App才能發動，無法遠端駭入。
- 原廠承認漏洞卻消極處理，甚至威脅研究員，導致修補程式遲未推出。
- 企業應嚴格把關軟體來源，並引入第三方監看機制以應對原廠不作為。
最近資安圈有一則新聞，雖然發生在手機上，但背後的觀念卻跟每一位中小企業主息息相關。新聞指出，知名品牌的手機系統出現嚴重漏洞，讓惡意程式能悄悄取得手機的最高控制權，更扯的是，原廠承認問題卻遲遲不修補，甚至威脅爆料的研究員。這不僅是手機使用者的危機，更提醒了企業主：當你的數位系統遇到漏洞，而原廠或外包商消極處理時，你的公司資料該怎麼辦？
OnePlus 手機漏洞：惡意 App 如何悄悄取得最高權限
研究員 Rasmus Moorats 發現，OnePlus 手機（運行 OxygenOS 系統）存在兩個漏洞。只要手機裡安裝了惡意 App，即使這個 App 沒有要求任何特殊權限，也能取得 Root 權限。Root 簡單來說，就是 Android 系統的最高控制權，拿到它就能對手機為所欲為。
這個攻擊是怎麼發生的呢？研究員發現，手機內建了一個用來收集除錯資料的服務（AtlasService），它本身以最高權限運行，卻沒有檢查是誰在呼叫它。惡意 App 藉此把指令丟進系統，接著再串聯另一個硬體輔助服務（olc2）的漏洞，最終突破限制，拿到完整的系統控制權。
好消息是，這屬於本地攻擊，駭客無法透過網路遠端發動，必須先讓使用者安裝了惡意 App 才會中招。
原廠消極處理，資安漏洞成了不能說的秘密
比起漏洞本身，原廠的處理態度更讓人擔憂。OnePlus 在今年 5 月就確認了漏洞，但他們向研究員表示，公司擁有獨家最終揭露權，並警告如果未經同意公開，將面臨法律責任。直到 9 月底，OnePlus 依然沒有推出 Patch（也就是修復漏洞的更新檔），研究員才決定將事件公開。
OnePlus 表示，這些漏洞不僅影響 OnePlus 15 與 12 Pro，還可能波及共用軟體系統的 OPPO 手機。這意味著，影響範圍比想像中更廣。
這起事件凸顯了一個常見的資安痛點：過度依賴單一廠商。當原廠選擇拖延甚至阻擋消息傳播時，使用者和企業就只能被迫暴露在風險之中。
從手機到企業網站，我們該學到什麼資安觀念？
雖然這是手機漏洞，但企業主可以從中帶入兩個重要的資安思維：
- 嚴格把關來源：這次攻擊的前提是安裝了惡意 App。對企業來說，這就像是在公司電腦或網站上，隨便安裝來路不明的免費外掛或軟體。只要源頭沒把關好，再強大的防護也沒用。
- 正視廠商不作為的風險：新聞中 OnePlus 對漏洞通報的回應極慢，過去也有其他研究員遇到同樣的問題。如果你的企業官網、電商後台或內部系統是外包開發的，當系統出現漏洞，而原廠商聯絡不上、不願意修補時，你的商業運作就會停擺，甚至遭到駭客入侵。
崴米的建議
身為企業的數位顧問，我們建議中小企業主可以從以下兩點馬上著手，把資安風險降到最低：
- 建立數位資產的來源白名單：無論是員工手機安裝 App、公司電腦安裝軟體，還是網站使用的外掛，都必須經過確認。不要為了省小錢或貪圖方便，使用來路不明的免費資源，這往往是資安破口的開始。
- 為你的網站與系統找一個專屬保母：你無法控制原廠什麼時候修補漏洞，但你可以確保自己的系統有人盯。選擇有提供長期維護與主機監看的服務，當系統遇到異常、需要更新或原廠商失聯時，有專業的第三方團隊能第一時間介入處理。如果你正在尋找可靠的長期技術後盾，歡迎了解我們的網站代管維護與主機監看服務，讓上線後的網站也有人顧。
參考來源：Unpatched OnePlus Flaws Let Installed Android Apps Gain Root Without Permissions
