本站的安全月报是对公开公告和补丁资料的回顾整理。完整字段用于帮助查阅，不代表每个漏洞都完成了源码审计或设备复现。
日期如何理解
月报页面的日期用于历史归档排序，不代表文章当年已经上线，也不代表其中全部资料在该日已经公开。
月报按公告月份组织；归档日期通常设为 Android 公告首次发布日期后两个日历月，最近两期 2026-09、2026-10 使用 2026-10-26。这个规则不用于旧技术笔记。
正文结合当前可得的官方记录及公告后续修订。CVE 编号列入早期公告，不等于其后才公开的 CNA 描述、芯片范围或利用信息当时已经可知。本文档及月报不构成某个历史时点的情报快照。
各月概况中的“首次发布日期”属于官方公告；文章头部的“归档日期”属于本站的排序规则，二者不能互换。
条目的分析依据
每张 CVE 卡片在十个字段之外标注分析依据。标签描述当前条目的证据范围，不是漏洞严重程度，也不保证结论永远不变。
| 标注 | 已提供的内容 | 尚不能据此认定 |
|---|---|---|
| 公告整理 | 组件、官方等级、修复表和公开引用；根因资料不足时保持未知 | 已定位具体代码缺陷 |
| CNA 机制解释 | 依据该编号的官方描述、缺陷分类解释机制，部分条目有更具体的逐项解读 | 已核对源码或复现利用 |
| 公开参考解读 | 已检查对应公开参考；可能仅涉及整库升级、构建选择、策略修改或部分修复 | 已还原完整根因和攻击链 |
| 源码分析 | 对所列提交中的具体错误路径、修复变化和边界作出说明 | 已在设备上验证修复或完成利用 |
| 记录状态说明 | 跟踪撤销编号、公告移除或附带修订，保留对应原文 | 一个新增且有效的独立漏洞 |
“实验验证”只有在文章提供环境、版本、操作过程和实际结果时才适用。目前月报卡片不使用这一标注。旧实践文章记录的是当时的操作经历，不保证在当前软硬件上可以原样重现。
CNA 机制解释部分包含按缺陷类别整理的通用解释。它适合辅助阅读原文，研究增量有限；不会因为有“漏洞成因分析”这一字段，就被标为源码分析。
证据与限制
来源优先采用 Google Android/Pixel 公告、CVE Program 中各 CNA 的记录，以及公告直接引用的公开补丁。月报使用自动化工具整理资料和初稿，具体代码分析仅适用于已明确核对的条目。
- “已更新的 AOSP 分支”不是完整受影响机型列表；某个组件名称也不能证明所有同品牌设备都受影响。
- 组件章节对最严重问题的概述，不套用到该组件的每个 CVE。
- CNA 记录的 HTTP 404 不等于编号被撤销或保留；REJECTED 则按官方撤销理由展示。
- 公告中的有限、定向利用提示与 CISA KEV 收录分别保留。KEV 按归档日期过滤；公告后续修订可能晚于该日期，因此不能用页面内容证明当年已知利用状态。
- 官方未披露利用、公开 PoC 未确认，都不表示不存在利用。
- 源码升级、测试提交和实际修复不能混为一谈；不同来源对同一编号的描述有冲突时，保留差异与不确定性。
更正与反馈
技术勘误会写明原表述与修正内容。原图无法恢复时，以明确的文字说明替代，不伪造原始截图或实验结果。历史归档日期和既有 URL 保持稳定。
反馈入口见关于与联系。涉及具体漏洞时，请提供编号、原始公告、补丁或其他可核对证据。