跳转至

GrapheneOS 月度更新摘要

GrapheneOS 的更新整理，按月聚合。近四个月平均六天就发一版，版本号是发布日期（例如 2026081300），逐版看没有意义，所以这一页把同一个月的版本合成一则，回答三件事：这个月的 Android 安全修补等级推进到哪、有没有修到日常会碰到的功能、机型支持有没有变动。新的月份永远在最上面。

GrapheneOS 走自动更新，设备在后台就会装好，一般用户不需要为了这一页做任何事。内容是给想知道背后发生什么、或需要向团队说明为何选这套系统的人看的。

原始数据来自官方发布页。官方的 atom feed 只保留最近 20 则（大约四个月），更早的记录要到官网翻。

2026 年 10 月

版本 2026100200、2026100600 · 官方发布页

  • 10 月 6 日的 2026100600 带上完整的 2026-10-05 安全补丁级别与 Pixel 十月固件，与 Google 的 Pixel 更新公告同一天。十月公告的内容整理在 Android 安全补丁级别。
  • security preview 版（2026100601）提前应用的范围往后推到 Google 排定在 2026 年 11 月到 2027 年 4 月公告的修补，额外修好的 CVE 清单有 122 个（8 个 Critical、114 个 High）。十月那批已经正式公告，从清单里移出。
  • 修掉上游 ZipFileRO.cpp 的整数溢出，条目名称长达 65,535 字节的 ZIP 文件会造成内存损坏。
  • system_server 的 JAR 与 APEX 以外的 APK 一律用 speed 编译过滤器预先编译。原本有性能配置文件时会改用 speed-profile，GrapheneOS 写明改动后核心系统的性能更好。
  • Seedvault（系统备份工具）改用上游最新的 Android 17 分支，取代 GrapheneOS 自己移植的版本，同时修掉一批错误与界面问题。
  • 10 月 2 日那版停用没有特殊权限的 app 也能请求的硬件 keepalive（由网络芯片代为发送维持连接的数据包），GrapheneOS 指出它会造成 VPN 泄漏，直接关掉。
  • 显示的安全补丁级别提高到 2026-09-05。GrapheneOS 的发布说明写明，2026-09-05 的修补已经装了一段时间，上一版又换上了 Android 17 QPR1 的全部 Pixel 固件与驱动，所以改列这个级别。九月那则提到的移动基带漏洞 CVE-2026-58704 就在 2026-09-05 这个级别，发布说明仍然没有点名它。
  • Pixel 内核恢复 Android 17（CP2A）的 mmap 预读行为，修掉 QPR1 的上游改动在内存吃紧时造成的卡顿。
  • 修掉上游 Android 的错误：从 Android 备份恢复的文件，修改时间原本会变成 1970 年 1 月，原因是把秒数传给了一个以毫秒计的 API。
  • 内核四条线（6.1、6.6、6.12、6.18）都跟上 GKI LTS 的最新修订，10 月 2 日那版 6.18 升到 6.18.33，10 月 6 日那版 6.12 升到 6.12.94。
  • Vanadium 在 10 月 2 日那版升到 154.0.8037.92.0，对应 Chrome 9 月 29 日的稳定版，10 月 6 日那版再升到 154.0.8037.126.0。
  • 机型涵盖 Pixel 6 到 Pixel 10a，没有变动。

2026 年 9 月

版本 2026090500、2026090700、2026091000、2026091700、2026091900、2026092500 · 官方发布页

  • 安全补丁级别在 9 月 10 日推进到完整的 2026-09-01 Pixel 级别。Google 的九月公告在 9 月 8 日恢复列出漏洞明细，该月的内容整理在 Android 安全补丁级别。
  • 9 月 15 日的 Pixel 更新公告写明移动基带的 CVE-2026-58704 可能正遭到针对性的利用（细节见 Android 安全补丁级别），Google 的修补在 2026-09-05 补丁级别。GrapheneOS 到 9 月 25 日那版为止的发布说明都没有写到 2026-09-05，也没有提到这个 CVE。9 月 17 日那版从 Android 17 QPR1 backport 了移动基带固件，9 月 25 日那版再把整套硬件支持换成 QPR1，是否覆盖这个修补，发布说明都没有交代。10 月 2 日那版把显示的补丁级别提高到 2026-09-05（见 2026 年 10 月那则）。
  • 电话（Dialer）加入自动通话录音。9 月 5 日先做成每通可以退出的开关，来电与去电都涵盖，通话中会显示正在录音的提示。9 月 10 日补上「默认对所有联系人录音，另外维护一份排除号码清单」的选项，同时声明麦克风与电话的前台服务类型，修好用蓝牙接听时录音不会启动的问题。9 月 17 日起，第一次开启自动录音的人默认就套用这个排除清单的模式，原本的默认是逐一加入要录的联系人。通话录音在许多地区涉及法律问题，开之前先确认自己所在地的规定。
  • 私密空间（Private Space）补了两处上游的隐私缺口。锁定状态下应用抽屉的搜索不再列出私密空间里的 app，Pixel Launcher 是靠 Android System Intelligence 处理搜索才没有这个问题。设置里另外加上警告，说明 Android 内置的隐藏私密空间只是表面遮蔽，已知有多种检测手法。把私密空间当成藏得住的人要重新评估。
  • 9 月 17 日加上剪贴板的读取限制，可以逐一 app 设置，也可以设成全局默认。开启后 app 不能自行读取剪贴板，只能通过系统的选取工具栏、键盘、快捷键或无障碍服务粘贴，每次都要用户亲自操作。剪贴板常放着密码与一次性验证码，这个限制让后台的 app 读不到那些内容。挡下读取时会跳通知，9 月 19 日把同一条通知的最短间隔从 1 分钟缩到 6 秒，嫌吵的人可以逐一 app 关掉提示。9 月 25 日改善了设置里这项功能的界面。内置键盘同时加上粘贴建议，最近复制的内容会出现在建议栏上。
  • hardened_malloc（GrapheneOS 自己的强化内存分配器）改用 MADV_DONTNEED_LOCKED，跟 mlockall 的兼容性变好，并修掉极端内存不足时可能解除映射却换不上新映射的边界情况。9 月 25 日另有几项分配效率的优化。
  • 系统文件管理器（DocumentsUI）不再对复制与部分移动的文件抹掉位置元数据。那是上游的错误，原本会让人以为自己保留了完整的原始文件。
  • Vanadium（GrapheneOS 内置的强化版 Chromium 浏览器）到 9 月 5 日那一版为止累积了四次更新，跟上 Chromium 152 系列。9 月 17 日起换到 153 系列，9 月 25 日那版再换到 154 系列（154.0.8037.57.1）。
  • 内核三条线（6.1、6.6、6.12）都跟上 GKI LTS 的最新修订。6.6 与 6.12 另外绕过上游 arm64 KVM 的一个错误，那个错误会让开了 lockdown 机密模式的设备开不了机。9 月 17 日那版三条线分别升到 6.1.177、6.6.143、6.12.93，另外新增 6.18 内核分支。
  • Pixel 的移动基带固件在 9 月 17 日从 Android 17 QPR1 backport 回来，造成部分运营商的兼容问题。9 月 19 日再 backport 同一版的 CarrierSettings 修掉，并修好 Wi-Fi 通话组件（wfc-pkt-router）的崩溃。9 月 25 日那版加上让 Android 17 直接使用 QPR1 硬件支持的基础设施，把内核驱动、固件与用户空间的硬件支持代码整套换成 QPR1 的版本，并补回原厂漏掉的 Pixel 6 系列基带运营商设置。
  • 9 月 25 日在新的「保护 SIM 卡」画面补回 SIM PIN 键盘乱序的开关。开启后数字键的位置每次都不同，旁人从手指的位置看不出 PIN 码。
  • 第 10 代以后的 Pixel 上，原厂系统为预装 AI 模型保留的存储空间在 9 月 25 日那版收回，改给用户使用。
  • 机型涵盖 Pixel 6 到 Pixel 10a，本月没有变动。

2026 年 8 月

版本 2026080500、2026081300 · 官方发布页

  • 安全修补等级推进到完整的 2026-08-05 Pixel 等级，同时更新 8 月的 Pixel 驱动与固件代码。
  • 内核 backport 了 CVE-2026-64560 的修补。同一个 Linux 内核漏洞 Tails 在 7.10.1 也紧急修过，在 Tails 上它可以让 Tor Browser 内的攻击者取得管理员权限。
  • 通讯录范围控制（Contact Scopes）在 Android 17 上跟 WhatsApp 与沙盒化 Google Play 服务的兼容问题，8 月 5 日先用临时解法挡住，8 月 13 日换成正式做法，改用调用端 app 的身份执行过滤查询。
  • 8 月 13 日修掉两个上游还没修的漏洞：凭证管理器（CredentialManager）与 Play 服务的 FIDO 界面都改为不透明，避免底下的界面被叠在上面的内容看穿。GrapheneOS 自己先挡掉上游未修的问题，是它跟原厂 Android 的差别之一。
  • Vanadium（GrapheneOS 内置的强化版 Chromium 浏览器）在 8 月连更四版，跟上 Chromium 151 系列。
  • 机型涵盖 Pixel 6 到 Pixel 10a，本月没有变动。
  • 8 月 13 日之后到月底没有再发新版，是近四个月最长的一次间隔。

2026 年 7 月

版本 2026070500、2026071100、2026071500、2026072900 · 官方发布页

  • 安全修补等级在 7 月 11 日拉到 2026-07-05，Android 与 Pixel 两份公告在该等级都没有额外的修补项目。同一版更新 7 月的 Pixel 驱动与固件代码。
  • 位置隐私修掉一个上游 Android 的缺陷：没有取得精确位置权限的 app，仍然可以从粗略位置读到海拔、精度这类次要字段。GrapheneOS 改成只用允许列表上的字段重建粗略位置。
  • 内核的硬件内存标记（hardware memory tagging）抓到 USB 以太网 gadget 驱动的一个 double-free。GrapheneOS 默认开启的防护实际拦下上游的错误，同样的记录在后面几个月还会反复出现。
  • 锁屏以外的 PIN 输入界面补上隐私强化，并修好 128 位数 PIN 在新版界面被截断的问题。
  • secure（exec）spawning 换成新实现，开关从全局改为逐 app 设置，兼容性明显改善。7 月 15 日再补上跟反篡改库的兼容处理，V-KEY 这类保护方案不会再被挡住。
  • ContactsProvider 与电话（Telephony）各修一个上游 Android 的安全漏洞，后者的成因是缺少对 API 等级低于 30 的 app 的系统权限检查。

2026 年 6 月

版本 2026060100 到 2026062800（八版）· 官方发布页

  • Android 17 上线的月份。6 月 1 日先到完整的 2026-06-01 等级，6 月 18 日跟上随 Android 17 发布的完整 2026-06-05 Pixel 等级。这一批修补里有一个 CVE-2025-48595 被标为可能正在被有限、针对性地利用，细节见 Android 安全补丁级别。Android 17 对 GrapheneOS 的处境代表什么，站上有专文讨论。
  • 硬件内存标记这个月抓到三个上游驱动的错误：Broadcom Wi-Fi 驱动的 use-after-free（程序把内存还回去之后又拿来用，可能被塞进恶意代码），以及 DisplayPort 驱动的两次越界读取（读到不该读的内存，可能泄漏别的程序的数据）。后者的成因是部分屏幕设备没有照 DisplayPort 规格实现。
  • 网络定位（Network Location）对 Apple 与 Apple China 的定位服务也改为要求 TLSv1.3，跟 GrapheneOS 自家服务的要求一致。
  • Android 17 带来几个行为变动：Wi-Fi 快速设置改成真的关闭 Wi-Fi，不再只是断开当前的网络。邻近设备权限拆出局域网访问，没有针对 Android 17 改版的 app 默认仍可使用。
  • 设置界面把胁迫密码（duress password）重新列回屏幕锁定菜单，这个功能靠有人看得到才会被用到。