背景：OnePlus 手機被發現可被無權限 App 直接取得 root
2026 年 9 月 24 日，研究人員 Rasmus Moorats 公開了一項針對 OnePlus 手機的安全研究。他發現 OnePlus 自家軟體中存在兩個漏洞，將兩者串連起來後，使用者安裝的任何惡意 App 都能在完全不要求任何權限、也不跳出任何提示的情況下，取得 Android 系統的最高控制權，也就是 root 權限。這項攻擊在搭載最新 OxygenOS 的 OnePlus 15 上實測成功，也在較舊的 OnePlus 12 Pro 上獲得驗證。Moorats 推測 OxygenOS 16 系列普遍存在相同問題。
所謂 root 權限，指的是 Android 系統中最高等級的存取能力。一般 App 只能在自己的沙盒範圍內運作，無法讀取其他 App 的資料或修改系統檔案；取得 root 之後，App 就能繞過這些限制，讀取簡訊、聯絡人、帳號憑證，甚至安裝惡意核心模組，等於完全掌控使用者的手機。過去要取得 root 通常需要解鎖 bootloader 或利用複雜的漏洞鏈，但這次的攻擊只需要使用者安裝一個惡意 App，門檻大幅降低。
核心內容：兩個漏洞如何串連成完整攻擊鏈
第一個漏洞出在 OnePlus 內建的 AtlasService。這項服務負責收集裝置的除錯資料，本身以 root 權限執行，但它接受任何 App 的呼叫，卻沒有驗證呼叫者的身分。研究人員發現，透過精心構造的呼叫，可以將 App 提供的文字內容傳入 OnePlus 的除錯工具，而這個工具會直接將文字拼進系統指令中執行，完全沒有檢查。這使得 App 得以取得 root 權限，但僅限於一個名為 dumpstate 的受限系統區域，無法執行所有 root 能做的事。
第二個漏洞則補完了最後一塊拼圖。OnePlus 出廠時搭載另一個硬體輔助服務 olc2，其中包含一個會執行任何 shell 指令的功能。這個功能唯一的保護機制是要求呼叫者必須已經是 root，而第一個漏洞恰好提供了這個身分。這次指令在具備完整 Linux 底層權限的區域中執行，包括載入核心程式碼的能力，讓 App 直接取得整個裝置的系統層級控制權。
影響與限制：本地攻擊、尚無實例、修補未至
這項攻擊屬於本地攻擊，惡意 App 必須先被安裝到手機上並執行，無法透過網路遠端觸發。也就是說，使用者只要只從可信來源安裝 App，就能有效阻斷攻擊鏈的起點。截至 Moorats 公開漏洞時，沒有證據顯示這兩個漏洞已在真實世界被利用，OnePlus 也尚未指派 CVE 編號或釋出修補程式。
Moorats 在 2026 年 4 月 18 日向 OnePlus 回報這兩個漏洞，5 月 20 日獲得確認。OnePlus 在回覆中承認，這兩個漏洞影響範圍涵蓋更多 OnePlus 自身裝置以及 OPPO 的產品，但沒有具體說明是哪些型號。OnePlus 同時主張自己擁有「漏洞揭露的最終專屬權利」，要求研究人員在未經許可的情況下不得公開技術細節，並警告擅自公開可能面臨法律責任。6 月 22 日，OnePlus 告知修補程式正在規劃中，要求 Moorats 暫緩公開，他同意在 9 月 17 日前不發表。之後他在 7 月 20 日和 9 月 11 日兩度詢問進度，都沒有獲得回覆。最終他在 9 月 24 日公開了完整研究。
OnePlus 主張，歐洲的網路安全法規要求廠商接受並修補漏洞通報，但並不允許研究人員在未經廠商同意的情況下自行揭露。該公司警告，若 Moorats 擅自公開，將「依據適用法律追究相關法律責任」。Moorats 則在公開時一併公布了 OnePlus 的完整回覆內容，讓外界自行判斷。
脈絡解讀：手機廠商自訂程式碼成為攻擊面
值得注意的是，這並非近期唯一一起無權限 App 取得 root 的案例。2026 年 8 月，安全公司 Calif 的研究人員 Lukas Maar 展示了另一種攻擊手法，透過攻擊三星、小米、OPPO、OnePlus 和 Realme 等廠商在 Android 系統中加入的自訂程式碼，讓不需要任何權限的 App 在搭載最新韌體的鎖定手機上取得 root。這顯示手機廠商為了提供差異化功能而加入的額外服務，正在成為安全研究與攻擊者的共同焦點。
OnePlus 在回應研究人員方面的紀錄也並非良好。2025 年，Rapid7 曾回報一個 OxygenOS 漏洞，可讓任何 App 讀取使用者的簡訊內容，但 OnePlus 直到研究公開後才做出回應。這次的 AtlasService 與 olc2 漏洞，再次凸顯了廠商內建服務的權限管理問題：這些服務以 root 身分執行，卻缺乏基本的呼叫者驗證，等於在系統核心附近留下了一扇未上鎖的門。
對一般使用者而言，在 OnePlus 釋出修補程式之前，最實際的防禦方式就是只從 Google Play 等可信來源安裝 App，並避免安裝來路不明的 APK 檔案。由於攻擊必須依賴手機上已有惡意 App 才能啟動，這道防線雖然簡單，卻是目前唯一有效的阻斷手段。對於重視裝置安全的使用者來說，這件事也提醒我們：即使是出廠預載的系統服務，也可能成為攻擊鏈的一環，而廠商對漏洞揭露的態度，同樣會影響整體安全生態的健全程度。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。