8 月通用表无新增 CVE，Pixel 列出 High / EoP 的 CVE-2026-0163，组件为 Video Processing Unit。它与 2 月 VPU mmap 条目不同，不能因为组件相似就借用缺失边界检查作为本条根因。Android 公告；Pixel 公告
本月概况
| 来源 | 首次发布日期 | 独立 CVE 数 |
|---|---|---|
| Android | 2026-08-03 | 0 |
| Pixel 补充公告 | 2026-08-04 | 1 |
两份公告合并去重后共 1 个 CVE。同一 CVE 的多个组件条目合并展示；Google Play 系统更新中的重复清单不额外计数。
风险判断与补丁分析
CVE-2026-0163：VPU 对象释放后仍被引用
CNA 在 vpu_ioctl.c 多个函数中明确披露 use-after-free，后果写为远程提权，无额外执行权限且无需交互。可确认的机制是对象生命周期结束后仍有访问路径，可能使旧引用指向已释放或重新分配的内存。公开资料未指出具体对象、引用计数、异步任务或释放分支，不能从 UAF 类别进一步指定某一种实现缺陷。CNA 记录
驱动位置不等于完整远程攻击链
记录使用 remote 后果，但没有细分远程输入如何到达驱动，也未公开完整调用链。本页保留原文，不自行改成只能本地触发；同时也不据此声称任意互联网输入能直接进入 ioctl。实际入口和设备范围仍需厂商证据补充。
更新与验证建议
- Pixel 核对
2026-08-05更新及 VPU 组件覆盖，不能仅根据 Android 主版本判断。 - 获取厂商修复后重点审查对象释放、回调和重复请求之间的生命周期，不借用其他 VPU CVE 的机制。
- 风险登记保留 remote 后果与传输通道未知两项信息，避免扩大或缩小已披露范围。
逐项 CVE
以下每项保留十个字段，包含漏洞成因分析。AOSP 已更新分支不等同于全部受影响机型；组件章节的总体风险描述不用于推断每个漏洞的攻击前提。利用状态结合原公告及截至文章日期的 CISA KEV 收录日期；未披露不等于未被利用。
CVE-2026-0163 · Pixel / Video Processing Unit High
| CVE | CVE-2026-0163 |
|---|---|
| 组件 | Pixel / Video Processing Unit |
| 官方等级 | High（高）；按 Google 公告保留，不用 CVSS 分数替换 |
| 影响范围 | 本月 Pixel 公告所涉受支持设备及相应组件；不能推及所有 Pixel 型号；CNA：Google / Android — Android kernel。 |
| 攻击入口与前提 | 触发位置：multiple functions of vpu_ioctl.c；攻击位置：远程（具体传输通道以逐项描述为准）；所需执行权限：无需额外执行权限；用户交互：不需要。 |
| 安全影响 | 权限提升（EoP） |
| 漏洞成因分析 | 已披露位置：multiple functions of vpu_ioctl.c。CNA 缺陷分类：Elevation of privilege。CNA 指出释放后使用（UAF）；机制分析：对象释放与后续访问的生命周期约束失效，旧引用仍可能被解引用。以上机制解释依据本 CVE 的 CNA 描述及缺陷分类；具体代码修复仅在本月重点补丁分析中经逐项核对后说明。 |
| 利用状态 | 所查 Google 公告未披露该项在野利用，且 CISA KEV 无截至文章日期的收录记录；不代表不存在利用；公开 PoC 状态未由这些来源确认。 |
| 补丁状态 | Pixel 公告列为已提供修复，公告声明补丁级别 2026-08-05；公告未附公开代码差异，补丁需通过相应系统更新、厂商驱动或固件获得；公告发布修复不等于某台设备已经安装。 |
| 证据链接 | Pixel 公告 · CVE 官方记录 · CNA 原始 JSON |
CNA 逐项描述（英文证据）：In multiple functions of vpu_ioctl.c, there is a possible use after free due to a use after free. This could lead to remote escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.
来源与说明
- Android Security Bulletin — 2026-08
- Pixel Update Bulletin — 2026-08
- CVE Program 官方记录：用于逐项影响范围、入口与前提，原始记录中未公开的内容保持未知。
- CISA Known Exploited Vulnerabilities：仅用于确认已公开收录的在野利用，不作为未被利用的证明。
Google 公告数据与原文归 Android Open Source Project / Google 及各原作者所有；本页按公告重新编排、合并并附加分析。Google 内容许可说明。CVE 描述来自各 CNA，经 CVE Program 发布。