当社のセキュリティプレビューリリースは、2025年9月以降、Androidオープンソースプロジェクト向けに2025年12月のセキュリティパッチを提供しています。2025年12月のセキュリティパッチは現在公開され、通常リリースに統合されています。一方、セキュリティプレビューは2026年3月まで提供されています。

2025年12月に予定されていたパッチの多くはオプションとなり、今後の月まで延期されたため、公開通知には掲載されていません。そのため、2025年9月のセキュリティプレビューリリースでも、2025年12月時点でまだ公開されていないCVEが掲載されています。

パッチが延期される理由は、OEMがパッチの迅速な統合、テスト、出荷ができないからです。OEMが問題を抱えているなどの問題が見つかると、多くの場合、翌月に延期します。セキュリティプレビューは引き続き発送可能です。

GrapheneOSは、完全なセキュリティプレビューパッチを提供する唯一のAndroidベースのOSです。サムスンはフラッグシップデバイスのごく一部を出荷しています。Pixel Stock OSは早期に一部を入手していますが、掲載パッチのガイドラインに従っていないため、正確な金額は不明です。

セキュリティプレビューパッチの提供は私たちにとって非常に大変な作業です。フルタイムの開発者がかなりの時間を費やす必要があります。大企業がこれらのパッチに追いつけない理由は理解しがたいですが、重要なのは早期に提供できることです。

Androidのセキュリティプレビューパッチは現在、Android 13、14、15、16へのバックポートとなっています。GrapheneOSはAndroid 16 QPR1をベースにしているため、パッチを16から16 QPR1に転送する必要があります。私たちの理解では、彼らは四半期ごとのリリースにもバックポートし始める予定です。

Android 16 QPR2は、Pixel以外のデバイスから出荷される最初の四半期ごとのAndroidリリースのようです。もしそうなら、セキュリティプレビューパッチもバックポートで提供し始める必要があります。四半期ごとのリリースごとに実施されるかは不明です。

この点にかなりの時間を費やしたことが、GrapheneOSの機能開発が減速した一因です。サーバーを拡大し、今度はOVHからの移行もまた一つの問題です。さらに多くの人材を採用し、組織構造を改善して物事をよりスムーズに進めていきます。

パッチは2〜4ヶ月前ではなく1週間前にOEMに公開されることを強く望んでいます。そうすれば、セキュリティプレビューのリリースは1週間だけで済み、通常のリリースはパッチをより早く受け取れるでしょう。OEMはもっと多くの人を雇い、もっと良い成績を出すべきです。