小米手机曝出致命级零点击漏洞，藏于常用音频功能中，无需用户点击即可被利用，导致隐私泄露。本文将深入解析该漏洞的原理与风险，并提供详细的机型覆盖、升级步骤及临时防护方案，助你快速保障手机安全。
智能速览
漏洞CVE-2025-54957藏于杜比音频编解码器，可实现零点击攻击。
谷歌Project Zero评级其为“致命级”，可远程窃取核心数据。
小米及Redmi超百款机型受影响，覆盖近三年主流设备。
官方已于1月12日推送安全补丁，建议用户24小时内完成升级。
升级前可关闭媒体自动下载与播放，作为临时防护措施。
精华内容
这个漏洞之所以引发全球关注，在于其极高的隐蔽性和破坏力。它并非遥远的威胁，而是潜伏在用户日常操作中的定时炸弹，了解其原理是有效防范的第一步。
漏洞何其危险
此次漏洞之所以被称为“零点击”，是因为其触发过程完全不需要用户进行任何交互。它隐藏在杜比数字增强版音频编解码器中，当手机接收到包含恶意代码的音频文件（如语音消息、短视频背景音）时，系统后台在自动解码的瞬间就可能被植入攻击程序。
网络安全专家的模拟测试显示，一台未升级的小米15在接收一条藏有恶意代码的微信语音时，甚至无需用户点击播放，短短3秒内，手机相册照片和支付记录就被同步到了测试电脑上。整个过程无任何弹窗提醒，手机无异常表现，极难察觉。
谷歌Project Zero团队将其评为“致命级”，是安卓生态近三年来最危险的漏洞之一。若与其他漏洞组合利用，攻击者甚至可以完全控制手机，窃听、监控或盗取支付信息，造成无法估量的损失。
哪些机型受影响
本次漏洞影响范围极广，官方统计覆盖上百款小米及Redmi机型，涉及近三年发布的主流设备。更新推送分为三个梯队有序进行。
第一梯队为最新的旗舰机型，包括小米17系列、小米15系列和Redmi K80系列，已于1月12日率先开始推送。第二梯队是中端主力机型，如小米Civi 4、Redmi Note 15系列和Redmi K70系列，这部分用户基数最大，在1月14日前完成全量推送。第三梯队则覆盖了小米12系列、Redmi K60系列等老款机型，官方同样为其适配了补丁，并在1月18日前陆续推送。
值得注意的是，就连无法升级澎湃OS 3的小米11系列，也能收到基础安全补丁，体现了对老用户的负责态度。
如何正确升级
升级操作流程十分简单。首先打开手机的“设置”应用，进入“我的设备”，找到“MIUI版本”或“澎湃OS版本”，点击“检查更新”。当系统提示有2026年1月安全补丁时，即可下载安装。
升级时需注意两个关键点：一是确认补丁版本日期必须是2026-01-05或之后的版本，才包含此次漏洞修复；二是建议在电量高于50%或连接充电器的情况下，并接入稳定WiFi进行升级，以防中断。
若暂时未收到推送，可能是由于“灰度推送”策略，可尝试更新“小米社区”APP后再检查系统更新，或等待1-2天。升级完成后最好重启手机，并再次进入“我的设备”确认补丁版本，确保更新成功。
升级前的临时防护
在收到官方更新前，用户可以采取几项临时措施来降低风险。首先，关闭微信、QQ等社交软件的“自动下载”功能，特别是针对视频和语音消息的自动下载，避免后台自动处理未知音视频。
其次，关闭浏览器的“自动播放媒体”设置，防止网页中可能嵌套的恶意音频被自动解码。同时，不要轻易点击陌生群聊或短信中发来的音视频链接，即便是熟人发来的，若有疑虑也应先进行确认。
最后，可以定期审查手机App的权限，关闭非必要应用对存储、麦克风等敏感权限的访问，这样即便漏洞被利用，也能在一定程度上减少信息泄露的范围。
厂商的责任与担当
从谷歌披露漏洞到小米推出全量补丁，整个过程不到7天，响应速度在行业内处于领先水平。这次更新不仅覆盖了新发布的旗舰机型，还将大量已接近系统支持末期的老机型纳入其中，展现了企业对用户安全的重视和品牌担当。
近年来，小米在手机安全领域持续投入，其自研的澎湃OS系统在每一代迭代中，都将隐私保护和漏洞修复作为重点。专门的安全响应团队进行24小时全球监测，一旦发现问题便会立即启动修复流程。这种不计成本、兼顾新老用户的做法，赢得了用户的认可，也为整个行业树立了良好的标杆。
此次事件再次凸显了系统更新的重要性。手机安全是用户与厂商的共同责任，及时的响应与全面的覆盖值得肯定。未来，面对更隐蔽的网络威胁，建立快速、透明的防护体系将是行业发展的关键。
