Chromium 月更：WebView 跟着吃 CVE 补丁

公告节奏

Android 安全公告（ASB）每个月第一个星期一发布（若遇节假日顺延到下一个工作日）。公告里列了三类 CVE：

Framework 层：影响 Android API 本身
组件层：影响 Google Play 服务、WebView、Google 应用等
内核 / 驱动层：影响 Linux Kernel、Qualcomm、MTK 等

WebView 的 CVE 属于组件层，每次公告里通常会有 5~15 个。

推送路径

Chromium 团队修复 CVE
        ↓
Chromium 大版本合入
        ↓
Google 打包 com.google.android.webview APK（Platform 签名）
        ↓
Google Play 商店推送 → 各厂商应用市场接力 → 用户设备静默安装
        ↓
下次 App 启动时新的渲染进程使用补丁版本

整个过程对用户完全不可见——没有弹窗、没有重启、没有手动操作。这就是 WebView 最大的安全优势：系统级静默更新。

覆盖范围

所有支持 Android 5.0+ 的设备 —— Google 官方 WebView 直接推送
厂商自研 WebView 设备（小米 HyperOS、华为 EMUI 部分机型）——厂商按自己的节奏同步推送
HarmonyOS NEXT —— 走鸿蒙安全公告，不使用 Chromium 补丁
放弃支持的设备（Android 6.0 2022 后）—— 不再收到新的 CVE 补丁

典型 CVE 类型

WebView 里最常见的 CVE：

类型	描述	影响
Use-after-free	渲染进程释放对象后仍被引用	远程代码执行
Out-of-bounds Read	越界读取 Chromium 内存	信息泄露
Type Confusion	V8 引擎类型检查错误	远程代码执行
Cross-origin	跨源隔离绕过	CSRF / 数据窃取

这些 CVE 如果被利用，可以通过恶意网页、钓鱼链接、甚至 App 内嵌的第三方广告攻击你的设备——而你可能连一个浏览器都没打开。

为什么比独立浏览器更安全

Chrome / Firefox 等独立浏览器用户可以关闭自动更新——很多人嫌弹窗烦或数据贵就关了。WebView 作为系统组件，Google 强制推送 CVE 补丁，用户没有选择权。

但这也意味着：如果你用的是厂商自研 WebView（不走 Google 推送），补丁节奏就取决于厂商了——小厂、冷门机型可能滞后几周甚至几个月。

→ 下一页：系统签名是覆盖更新的关键