Android 安全补丁级别¶

Android 每月安全更新的整理。这一页的做法跟 iOS、macOS、Windows 那几页不同，原因写在下一节。新的月份永远在最上面。

这一页为什么没有紧急程度分级¶

Google 的 Android 安全公告在 2026 年 7 月出现变化，公开页面不再列出漏洞明细。2026 年 6 月的公告还有 119 个 CVE，分成 Framework、System、Kernel 与各家芯片厂等分节，每一条都标了类型与严重度。7 月与 8 月的页面只剩说明文字，连「明细表的 Type 字段代表什么」这种模板解释都还留着，那张表格本身却不在页面上。用浏览器完整渲染过也一样，所以缺的是内容本身。

9 月 8 日的公告又把明细放回来了，18 张表、180 个 CVE，组件分节与严重度都在，10 月 5 日的公告也有明细。7 月与 8 月目前看是两个月的空窗。分级要不要加回来，等这个状态延续几个月再决定比较稳妥。现在就改回去的话，7 月与 8 月那两则会空着一格，读者分不出哪一格是「查过没事」、哪一格是「查不到」。

没有明细就无法判断「这个月有没有正在被实际利用的漏洞」，而那正是 iOS 与 Windows 那两页分级的依据。与其用不确定的数据硬做分级，这一页改成追三件可以确定的事：每月的补丁级别推进到哪、涵盖多少 CVE 与严重度分布、你的设备落后多少。

7 月与 8 月那两则的 CVE 数字来自 GrapheneOS 的发布说明，那是官方公告没有明细时唯一拿得到的来源，它代表的东西需要说明清楚。GrapheneOS 会发 security preview release，提前套用 Google 排定在未来几个月才公告的修补，发布说明里的「List of additional fixed CVEs」就是那批提前修好的清单，会逐版累积。所以那个数字是「GrapheneOS 已经比官方排程早修好多少」，不是「这个月官方公告涵盖多少」。后者在 7 月与 8 月拿不到，因为明细不在页面上。9 月的公告恢复明细之后，那一则的数字直接取自 Google 的公告。

先查自己的设备落后多少¶

Android 设备的实际补丁级别由手机厂决定，跟 Google 公告的日期不是同一件事。位置在设置、关于手机、Android 安全更新，各家界面名称略有差异，显示的是一个像 2026-08-05 的日期。

怎么看那个日期：

落后一个月以内属于正常，各厂都需要时间整合与测试。
落后三个月以上，代表这段期间公开的漏洞在你的设备上都还没补。Android 的漏洞公开之后细节会进 AOSP，攻击方跟防守方取得的是同一份数据。
完全停止更新的设备，已知漏洞不会再有修补。处理敏感联络或采访工作的话，该考虑换机或改装仍在维护的系统。

原厂支持期长短差很多，买之前查清楚该型号的承诺支持年限，比买了之后才发现划算。

2026 年 10 月¶

补丁级别 2026-10-05 · Google 公告 · Pixel 更新公告 · GrapheneOS 发布页

公告在 10 月 5 日发布，明细延续九月的格式，这一则的数字直接来自 Google 的公告。
规模比九月小很多，25 个 CVE，7 个 Critical、18 个 High，只有 2026-10-01 一个补丁级别。分节也只有 Framework 与 System 两个，内核与芯片厂商都没有条目，九月是 180 个。
最严重的一组在 System 组件，4 个 Critical 提权，不需要额外的执行权限，也不需要用户做任何操作，影响 Android 16 及以后的版本（CVE-2026-55269、CVE-2026-55280、CVE-2026-58835、CVE-2026-58880）。System 另有 2 个 Critical 拒绝服务，Framework 有 1 个可以远程触发的 Critical 拒绝服务（CVE-2026-58865），影响 Android 14 到 17。
唯一的远程执行代码评为 High（CVE-2026-49878），在 Wi-Fi 模块。它与同模块的 CVE-2026-45524、电话核心的 CVE-2026-58859 一起通过 Google Play 系统更新推送，有这个更新渠道的设备（Android 10 及以后的部分设备）不必等手机厂商的完整更新，就可以收到这三项。
10 月 6 日的 Pixel 更新公告另外列了 6 个 Pixel 专属的 CVE，补丁级别是 2026-10-05。3 个 Critical 分别是蓝牙的提权（CVE-2026-55330）、GDMC 组件的提权（CVE-2026-56952）与 GSA 组件的信息泄露（CVE-2026-55307）。
Google 在两份公告里都没有标注任何一项已被实际利用。
GrapheneOS 在 Pixel 公告同一天发布 2026100600，带上完整的 2026-10-05 补丁级别，详见 GrapheneOS 月度更新摘要。

2026 年 9 月¶

补丁级别 2026-09-05 · Google 公告 · Pixel 更新公告 · GrapheneOS 发布页

公告在 9 月 8 日发布，漏洞明细回来了，所以这一则的数字直接来自 Google 的公告。
180 个 CVE，32 个评为 Critical、148 个 High。分成 2026-09-01 与 2026-09-05 两个补丁级别，设备显示 2026-09-05 或更新才代表两批都涵盖。
最严重的一组在 System 组件，8 个 Critical 的远程代码执行，不需要额外的执行权限，也不需要用户做任何动作。影响范围从 Android 14 到 17（CVE-2026-28604、CVE-2026-28618、CVE-2026-28639、CVE-2026-28662、CVE-2026-49882、CVE-2026-49884、CVE-2026-49919、CVE-2026-49921）。
System 另外有 12 个 Critical 提权与 3 个 Critical 拒绝服务，Framework 有 3 个 Critical。内核那一组的 4 个 Critical 提权里有 3 个落在受保护的 KVM（Protected KVM）上。
芯片厂那一侧集中在 Imagination Technologies 25 个与 MediaTek 21 个，都评为 High。
Android 安全公告本身没有提到任何项目正在被实际利用。9 月 15 日另外发布的 Pixel 更新公告写明 CVE-2026-58704 有迹象可能正遭到有限的、针对性的利用，CISA 次日将其收入已知遭利用漏洞目录（KEV）。
CVE-2026-58704 位于 Pixel 的移动基带（Modem），是权限检查的逻辑错误，可以用来提权，Google 评为 High。攻击者需要在物理上靠近目标，但不需要用户做任何操作。Pixel 更新到 2026-09-05 补丁级别才覆盖，还停在 2026-09-01 的 Pixel 要尽快更新。Pixel 更新公告只覆盖 Google 自己的手机，其他品牌的情况要看各自的公告。
GrapheneOS 这一侧，到 9 月 10 日那版为止提前修好的 CVE 已经涵盖 Google 排定在 2026 年 10 月到 2027 年 3 月公告的内容。显示的补丁级别在 10 月 2 日那版提高到 2026-09-05，详见 GrapheneOS 月度更新摘要。

2026 年 8 月¶

补丁级别 2026-08-05 · Google 公告 · GrapheneOS 发布页

到 8 月 13 日那版为止，GrapheneOS 已经提前修好 196 个尚未正式公告的 CVE（34 个 Critical、160 个 High、2 个未分类），涵盖 Google 排定在 2026 年 9 月到 2027 年 1 月公告的内容。
Google 的公开公告没有明细，看不出这些修补落在哪些组件，也看不出有没有正在被利用的项目。
GrapheneOS 在同一个月另外修掉两个上游还没处理的漏洞，把凭证管理器与 Play 服务的 FIDO 界面改为不透明，详见 GrapheneOS 月度更新摘要。

2026 年 7 月¶

补丁级别 2026-07-05 · Google 公告 · GrapheneOS 发布页

到 7 月 29 日那版为止，提前修好的累积到 165 个（30 个 Critical、130 个 High、5 个未分类）。
明细从这个月开始消失。往前一个月还有完整的分节与类型标示，往后就只剩摘要。
这个级别在 Android 与 Pixel 两份公告里都没有额外的修补项目，属于例行推进。

2026 年 6 月¶

补丁级别 2026-06-01 与 2026-06-05 · Google 公告 · GrapheneOS 发布页

这是最后一个公开明细完整的月份，Google 公告列出 119 个 CVE。
CVE-2025-48595 被标为可能正在被有限、针对性地利用。它在 Framework 组件，类型是提权（让程序取得比原本更高的系统权限），严重度 High，影响 Android 14、15、16 与 16-qpr2。Google 用「有限、针对性」这个说法时，背后通常是商业间谍软件对特定对象发动的攻击，记者与人权工作者是常见的目标。工作性质属于这一类的人，请比照其他页面的「立刻」处理：确认自己的设备补丁级别已经到 2026-06-05 或更新，没到就先别用它处理敏感联络。
组件分布的前五大类：System 37 个、Framework 30 个、Qualcomm 闭源组件 19 个、Unisoc 16 个、MediaTek 11 个。其余散在 Kernel、Imagination 与 Qualcomm 非闭源组件。
类型分布：提权 40 个、拒绝服务 21 个、信息泄露 6 个、远程执行代码 1 个。提权占最多是 Android 的常态，攻击链通常先取得执行机会，再靠提权升到系统权限。
6 月 18 日的 2026-06-05 级别随 Android 17 一起发布。

2026 年 5 月¶

补丁级别 2026-05-05 · Google 公告 · GrapheneOS 发布页

到 5 月 24 日那版为止，提前修好的累积到 111 个（18 个 Critical、91 个 High、2 个未分类）。
GrapheneOS 在这个月的硬件内存标记抓到 Broadcom Wi-Fi 驱动的 use-after-free（程序把内存还回去之后又拿来用，可能被塞进恶意代码）与 DisplayPort 驱动的越界读取（读到不该读的内存，可能泄漏别的程序的数据），那些是上游没发现的问题。

2026 年 4 月¶

GrapheneOS 发布页

到 4 月 21 日那版为止，提前修好的累积到 61 个（13 个 Critical、48 个 High）。
GrapheneOS 在这个月没有推进标示的补丁级别，发布的内容以功能修正为主。