Các bản phát hành xem trước bảo mật của chúng tôi đã cung cấp các bản vá bảo mật tháng 12 năm 2025 cho Dự án Mã Nguồn Mở Android kể từ tháng 9 năm 2025. Các bản vá bảo mật tháng 12 năm 2025 hiện đã công khai và đang được tích hợp vào các bản phát hành thường xuyên của chúng tôi trong khi các bản xem trước bảo mật của chúng tôi có thời hạn đến tháng 3 năm 2026.

Một số bản vá trước đây dự kiến vào tháng 12 năm 2025 đã được chuyển sang tùy chọn và hoãn lại đến các tháng sau, vì vậy chúng không được liệt kê trong thông báo công khai. Đó là lý do tại sao ngay cả danh sách phát hành bảo mật dự kiến vào tháng 9 năm 2025 của chúng tôi cũng liệt kê các CVE mà vẫn chưa công khai vào tháng 12 năm 2025.

Lý do các bản vá bị hoãn lại là vì các nhà sản xuất thiết bị gốc (OEM) không thể nhanh chóng tích hợp, kiểm tra và phát hành các bản vá. Khi các vấn đề được xác định, bao gồm cả việc một OEM gặp khó khăn với nó, họ thường sẽ hoãn lại đến một tháng sau. Các bản xem trước bảo mật của chúng tôi có thể tiếp tục phát hành những bản này.

GrapheneOS là hệ điều hành dựa trên Android duy nhất cung cấp các bản vá bảo mật đầy đủ. Samsung chỉ cung cấp một phần nhỏ trong số các thiết bị flagship của họ. Hệ điều hành gốc của Pixel nhận được một phần trong số đó sớm hơn nhưng chúng tôi không chắc chắn chính xác bao nhiêu vì họ không tuân theo hướng dẫn của mình để liệt kê các bản vá.

Việc cung cấp các bản vá bảo mật của chúng tôi là một công việc rất lớn. Nó đòi hỏi một lập trình viên toàn thời gian dành một phần đáng kể thời gian của họ cho việc này. Thật khó để hiểu tại sao các công ty lớn không thể theo kịp những bản vá này, nhưng điều quan trọng là chúng tôi có thể cung cấp chúng sớm.

Các bản vá bảo mật Android hiện đang được chuyển tiếp về Android 13, 14, 15 và 16. Vì GrapheneOS dựa trên Android 16 QPR1, chúng tôi cần chuyển tiếp các bản vá từ 16 sang 16 QPR1. Hiểu biết của chúng tôi là họ sẽ bắt đầu chuyển tiếp đến một số bản phát hành hàng quý nữa.

Android 16 QPR2 dường như là bản phát hành hàng quý đầu tiên của Android sẽ được cung cấp trên các thiết bị không phải Pixel. Nếu đúng như vậy, họ sẽ cần bắt đầu cung cấp các bản vá bảo mật được chuyển đổi về phiên bản này nữa. Chưa rõ liệu điều này có xảy ra cho mọi bản phát hành hàng quý hay không.

Việc dành một khoảng thời gian đáng kể cho điều này là một phần lý do khiến việc phát triển tính năng của GrapheneOS chậm lại. Mở rộng máy chủ của chúng tôi và giờ đây là việc di chuyển khỏi OVH cũng là một lý do khác. Chúng tôi sẽ tuyển thêm người và cải thiện cấu trúc tổ chức của mình để mọi thứ có thể tiến triển tốt hơn.

Chúng tôi rất mong muốn các bản vá được công bố cho các OEM trước 1 tuần thay vì 2-4 tháng, để các bản phát hành bảo mật của chúng tôi chỉ cần tồn tại trong một tuần và các bản phát hành thông thường sẽ nhận được các bản vá nhanh hơn nhiều. Các OEM nên thuê nhiều người hơn và làm tốt hơn.