A política de segurança do Android nos últimos anos tem sido retroportar patches para vulnerabilidades críticas e graves do Android às três principais versões anuais anteriores. Patches de moderado e baixo grau de severidade, incluindo a maioria das correções para fraquezas de privacidade, exigem atualização para as versões mais recentes.
A Google recentemente informou aos OEMs sobre um apoio significativamente reduzido à segurança para versões mais antigas do Android. Para a grande maioria das vulnerabilidades descobertas, apenas os problemas de severidade crítica considerados um risco iminente serão retroportados e apenas às duas últimas versões anuais principais (16 e 17).
Vulnerabilidades externamente relatadas ainda seguirão a mesma política para retroportar patches. Vulnerabilidades de alta e severidade crítica relatadas à Google por terceiros serão retroportadas para versões que remontam a cerca de três anos (atualmente 14, 15, 16 e a mais recente estável 17).
Os boletins de segurança do Android já omitem patches de moderado e baixo grau de severidade. Eles são datados em 2-4 meses após as vulnerabilidades serem divulgadas aos OEMs e permitidas para serem enviadas. Apenas os flagships da Samsung e Pixels recebem qualquer parte disso 'cedo' na prática. Apenas o GrapheneOS envia todo o conjunto 'cedo'.
A grande maioria das vulnerabilidades está sendo descoberta internamente pela Google para Android e Chrome. Essa descoberta é feita principalmente com IA. O subconjunto considerado de severidade crítica e um risco iminente será retroportado para 16 e 17. Suporte mínimo à segurança para versões mais antigas acabou.
Agora, patches mínimos do Android exigem estar no Android 16, 16 QPR2 ou 17 e rapidamente se mover para o Android 18 quando for lançado. Uma vez que o Android 18 seja lançado, será a única versão com High e Critical patches atuais. O apoio sério às versões mais antigas do Android acabou.
O Android 17 é a única versão do Android com o conjunto atual de patches moderados e baixos divulgados. O Android 16, 16 QPR2 e 17 serão em breve as únicas versões com o conjunto atual de patches críticos e altamente divulgados também. Uma vez que o Android 18 seja lançado, será a única.
A grande maioria das vulnerabilidades do kernel Linux não é coberta pelos boletins de segurança do Android, os patches externos são retroportados muito lentamente e os boletins de segurança do Android chegam 2-4 meses depois que os patches do Android podem ser enviados. Se você quiser patches mínimos, use o iOS ou o GrapheneOS.
Vamos precisar fazer um grande trabalho com a Motorola e a Qualcomm para fornecer patches sérios para dispositivos do GrapheneOS. Vamos precisar de mais desenvolvedores. Após o lançamento dos novos dispositivos com suporte ao GrapheneOS, queremos portar repetidamente para a última versão LTS do Linux entre outras grandes mudanças.
A Google está completamente sobrecarregada pela torrente massiva de vulnerabilidades descobertas por modelos de IA. Eles fizeram ciclos repetidos de demissões e aquisições, enfraquecendo sua capacidade de lidar com isso. A mudança na programação para os boletins de segurança do Android também está em extrema discordância com essa nova realidade.
A Google mudou para um sistema performático de boletim de segurança do Android com vulnerabilidades listadas 2-4 meses após serem enviadas. Eles estão fingindo que não abrir os patches fonte protege as pessoas dos OEMs não atualizarem. Nossa comunidade tem pessoas revertendo engenhosamente binários de patches.
A Google precisa começar a abrir novamente QPR1 e QPR3 releases junto com a abertura de prévias de segurança logo após a divulgação aos OEMs. Caso contrário, iremos contratar pessoas para fazer trabalho de reversão oficialmente para começar a publicar as alterações como código aberto cedo.