Google cambia su estrategia de actualizaciones de seguridad en Android, priorizando solo parches mensuales para vulnerabilidades de alto riesgo
Google ajusta su política de actualizaciones, enfocándose en correcciones críticas mensualmente y reduciendo la frecuencia de parches menores.
Google ha anunciado cambios en su estrategia de lanzamientos para las actualizaciones de seguridad en Android. A partir de ahora, solo se corregirán mensualmente las vulnerabilidades clasificadas como de alto riesgo, mientras que las fallas con menor gravedad se abordarán de forma trimestral. Esta nueva política, denominada «Risk-Based Update System» (RBUS), representa un cambio significativo respecto a las prácticas anteriores, en las que se publicaban parches y boletines de seguridad todos los meses.
Desde 2015, Google mantenía un ciclo mensual para lanzar parches y boletines de seguridad, que incluían todas las vulnerabilidades corregidas sin distinción de gravedad. Sin embargo, en julio de este año, la compañía eliminó la publicación del boletín correspondiente, y la tendencia continúa hacia ciclos trimestrales en marzo, julio, septiembre y diciembre. Este cambio también se alinea con las fechas de los «Pixel Drops», actualizaciones que, además de parches, introducen nuevas funciones en los dispositivos Pixel.
La modificación en la frecuencia y contenido de los boletines afectará a los fabricantes, que ahora tendrán menos trabajo mensual al reducir la cantidad de parches que deben gestionar y distribuir en sus dispositivos. No obstante, esto podría complicar el mantenimiento de los parches para vulnerabilidades críticas, pues solo las de alto riesgo se abordarán mensualmente. Los fabricantes que distribuyen actualizaciones de seguridad de forma más ocasional, como Samsung, podrían beneficiarse, mientras que otros podrían experimentar mayor dificultad para mantenerse al día con las amenazas más peligrosas.
Para los desarrolladores de ROM personalizadas, como GrapheneOS, esta modificación genera preocupación. Google dejará de publicar el código fuente de las actualizaciones mensuales para estos proyectos, limitando la rapidez con la que pueden ofrecer parches de seguridad. Además, el retraso en la publicación del código fuente en el Android Open Source Project (AOSP) también complica la creación de actualizaciones rápidas y efectivas.
Por otro lado, la extensión del período de anticipación para las grandes actualizaciones trimestrales, en lugar del aviso mensual previo, ha sido criticada por aumentar el riesgo de que actores malintencionados puedan explotar vulnerabilidades antes de que los parches estén disponibles para el público general. Los desarrolladores de proyectos como GrapheneOS alertan de que esto da más tiempo a los atacantes para detectar detalles de vulnerabilidades y desarrollar exploits, lo que podría poner en peligro la seguridad de los dispositivos que utilizan estos parches.