Android ver. 4.3（「Jelly Bean」）までのAndroid OSに含まれるウェブページのレンダリング用コンポーネントに見つかったバグについて、グーグル（Google）が自社でのセキュリティパッチの開発/リリースを予定していないことが明らかになり、一部で話題になっている。

GigaOMなどが伝えたところによると、Rapid7というセキュリティ企業に所属するラフェイ・バロック（Rafay Baloch）氏がAndroidブラウザの「Android WebView」というコンポーネントにみつかったバグについてグーグルのセキュリティチームに問い合わせたところ、「Android 4.3以前のウェブブラウザについては、自社でのパッチ開発を停止し、パートナー企業に問題を報告するのみになる」「外部の企業が開発したパッチを配布する可能性はある」などとする回答があったという。なお同氏によると、グーグルは昨年9月ごろまでは以前のバージョンのブラウザのバグにも対応していたという。

Android 4.3は2013年半ばにリリースされた2世代前のOSだが、同OSで動作する端末はいまだに全体の46%を占め、それよりも古いOSが動く端末の割合も14％超となっている。このことから、バロック氏は「9億3000万台を超えるAndroid端末がグーグルによる正式なセキュリティ・アップデートのサポートを受けられない状態になっているようだ」と記している。

この話題に触れたGigaOMブログでは、4.3以前のバージョンについて、グーグルがアップデートを提供したとしても、最終的に各端末に行き渡るかどうかは端末メーカーや携帯通信事業者次第と指摘。また同社が近年、よりコントロールしやすい「Google Play Services」を利用したセキュリティアップデートの形に切り替えつつあることも指摘している。

【参照情報】
・Google No Longer Provides Patches for WebView Jelly Bean and Prior - Rapid7
・Google stopped patching old Android exploits, but don't panic - GigaOM
・Google Isn't Fixing Some Old Android Bugs - WSJ