WhisperPair Fast Pair 漏洞：17款受测音频设备存在风险

独立研究人员在17款准确型号的 Fast Pair 音频产品上复现 CVE-2025-36911，可导致未经授权的配对，部分场景涉及麦克风或位置访问。补丁状态因型号而异。

发布于 · 更新于 · SoundPath Lab

译文依据原文更新：；译文更新：。查看英文原文。型号、参数与证据边界沿用同一来源。

无品牌耳机、耳塞与音箱，旁有破裂的蓝牙安全盾牌及位置标记。

问题编号： SPL-BT-FP-001
状态： open-confirmed（已确认，尚未关闭）
证据等级： E2——独立、可复现的安全研究，公开测试工具、CVE 记录及厂商回应
首次向 Google 报告： 2025年8月
公开披露／确认： 2026年1月15日
最近核查： 2026年8月19日
受影响总量： 未知；不要根据测试样本推断故障率
生命周期状态： 当前产品与旧产品均涉及；支持与补丁供应因型号而异

KU Leuven 研究人员证明，部分 Google Fast Pair 音频配件即使不在配对模式，也可能接受未经授权的配对请求。这类攻击称为 WhisperPair ，对应编号为 CVE-2025-36911，可让附近攻击者控制存在漏洞的配件。根据设备与配置不同，这可能允许不受欢迎的音频播放、麦克风访问，或通过 Google Find Hub 进行位置追踪。

本页只适用于研究人员测试并标为存在漏洞的准确型号与 Model ID。这 不 能证明每款 Fast Pair 产品、每种颜色或地区版本，或每台运行当前固件的设备仍有漏洞。

购买者与已有用户为什么应关注

研究人员报告的攻击时间中位数约为十秒，并使用普通具备蓝牙功能的硬件，在最长14米范围内测试。在其测试条件下，无需用户交互或接触实物。

只更新手机并不足够。Fast Pair 支持实现在配件内，研究人员表示配件固件才是唯一持久的缓解措施。恢复出厂设置，或在手机上关闭 Fast Pair 提示，都无法修复配件底层实现。

独立测试确认存在漏洞的型号

品牌 准确受测型号 Fast Pair Model ID（型号标识） 已复现劫持 测试用时 2026年8月19日核查的补丁状态
Google Pixel Buds Pro 2 12934265 是 6.89 s Google 向媒体表示，受影响 Pixel Buds 已有补丁；未找到补丁后的独立核验—— resolved-pending-verification（已称修复，待核验）
Jabra Elite 8 Active 3778746 是 32.01 s Jabra 表示，依代际不同，FW 4.6.0 或 2.6.0 可缓解 CVE-2025-36911—— resolved-pending-verification（已称修复，待核验）
JBL Tune Beam 3293323 是 6.91 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Marshall MOTIF II A.N.C. 15473012 是 9.49 s Marshall 表示从2025年11月起提供安全补丁；未找到准确版本与独立复测—— resolved-pending-verification（已称修复，待核验）
Nothing Ear (a) 8625818 是 38.80 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
OnePlus Nord Buds Pro 3 13394952 是 10.19 s 据报道厂商正在调查；准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Redmi Buds 5 Pro 11155060 是 8.32 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Soundcore Liberty 4 NC 5409858 是 15.27 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Sony WF-1000XM5 12499626 是 9.43 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
JBL Live 775 NC 14502233 是 7.62 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Marshall Major V 12915160 是 11.70 s Marshall 表示从2025年11月起提供安全补丁；未找到准确版本与独立复测—— resolved-pending-verification（已称修复，待核验）
Sony WH-1000XM4 13386638 是 9.69 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Sony WH-1000XM5 13911719 是 12.38 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Sony WH-1000XM6 6360443 是 12.94 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Sony WH-CH720N 16003068 是 7.46 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
JBL Clip 5 1917389 是 36.19 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）
Logitech / Ultimate Ears Wonderboom 4 11575855 是 11.96 s 准确修复固件版本尚未核实—— open-confirmed（已确认，尚未关闭）

范围说明： Model ID 可能随颜色和地区变化。研究人员表示，同系列的其他 Model ID 可能共用固件，但 SoundPath Lab 不会自动将结果扩展至未测试版本。

触发条件与已演示影响

存在漏洞的实现，在配件未进入配对模式时，没有拒绝 Fast Pair 请求。配件回应后，攻击者就可完成常规蓝牙配对。

实验室工作证明，这可能实现：

  • 未经授权的配对与音频控制；
  • 访问存在漏洞配件的麦克风；
  • 高音量播放音频；
  • 在某些配置下，若配件此前从未接收 Android 所有者账户密钥，可通过 Google Find Hub 注册所有权并追踪位置。

在2026年8月19日核查时，未找到大规模实际利用的可靠公开证据。这种证据缺失不会消除实验室已确认的风险。

已有用户应怎么做

  1. 通过厂商官方控制 App 或支持流程安装最新固件。
  2. 依赖所引用的修复版本前，核对准确型号与硬件代际。
  3. 将意外配对、音频、麦克风或 Find Hub 通知视为安全信号，不要自动忽略。
  4. 如果怀疑发生未经授权的配对，恢复出厂设置可移除已有配对，但不会修补漏洞；之后仍应更新固件。
  5. 如果厂商没有公布修复版本，请要求支持人员确认准确型号与地区的 CVE-2025-36911 是否已得到缓解。

厂商回应与修复状态

Google 将该问题定为严重，并与生态合作伙伴协调了150天的披露期。KU Leuven 表示许多厂商已发布补丁，但不一定每款存在漏洞的产品都有补丁。

Jabra 安全中心明确列出 CVE-2025-36911，并为 Elite 8 Active 和 Elite 10 各代产品列出缓解固件。由于 SoundPath Lab 尚未找到更新后的独立复测，这些修复仍为 resolved-pending-verification（已称修复，待核验），而不是 resolved-verified（修复已核实）。

Marshall 向 Engadget 表示，必要固件更新与安全补丁自2025年11月起已经可用。本文审阅的公开声明没有说明准确版本，因此两款受测 Marshall 型号同样保持为 resolved-pending-verification（已称修复，待核验）。

本次审查未能为其余型号核实同时注明准确型号与修复固件版本的当前官方声明。其条目保持为 open-confirmed（已确认，尚未关闭） ，直到有型号专属修复文档并完成独立检查。

事实、推断与未知事项

已确认事实

  • KU Leuven 在上述17组准确型号／Model ID 组合上复现了劫持。
  • CVE-2025-36911 记录了近距离范围内、无需用户交互的信息泄露。
  • 修复这一实现缺陷需要配件固件。

合理推断

  • 关系密切的地区或颜色版本可能共用固件，因此也可能面临相同风险，但必须按型号或厂商文档核实。

未知

  • 受影响总量与实际利用发生率。
  • 当前每台零售设备是否均搭载已修补固件出厂。
  • 大多数受测型号的准确修复固件版本。
  • 未经测试的 Fast Pair 配件是否存在漏洞。

来源

披露

SoundPath Lab 与本页引用的研究人员或厂商没有商业关系。由于这是仍在持续的安全风险记录，本文不包含联盟营销或购买链接。

修订记录

  • 2026年8月19日： 根据可复现的 KU Leuven 设备表、CVE 记录及当时可用的厂商回应建立首次发布包。补丁声明仍待独立核验。