LineageOS subit les changements de Google dans la politique de sécurité d’Android

Le 16 septembre, nous expliquions que Google avait – assez silencieusement – modifié sa manière de distribuer ses bulletins de sécurité mensuels. Les fameux ASB (Android Security Bulletins) étaient depuis des années distribués une fois par mois, avec à leur bord des informations sur les failles de sécurité corrigées. Il appartenait ensuite à chaque vendeur (OEM) d’appliquer ces changements. Quand le travail est fait, les utilisateurs reçoivent ainsi une mise à jour de sécurité par mois, les paramètres d’Android donnant le mois et l’année de la plus récente.

• Chez Google, la gestion des correctifs de sécurité a basculé sur un système de risque

Avec le changement, ils sont toujours publiés mensuellement, mais leur contenu évolue de manière drastique. Seules sont renseignées les failles présentant un haut risque, notamment les vulnérabilités critiques qui présentent un fort risque d'être exploitées ou qui le sont déjà. Tout le reste est rassemblé dans un bulletin publié tous les trois mois.

Ce calendrier est désormais synchronisé avec les QPR (Quarterly Platform Releases), ces mises à jour fournies par Google pour améliorer et enrichir Android. Ce qui n’est pas sans causer des problèmes pour les ROM personnalisées, comme l’a expliqué LineageOS dans une publication du 11 octobre.

Un fonctionnement plus opaque

L’équipe de développement commence par une bonne nouvelle : pour une fois, elle est en avance. Elle indique que bon nombre des améliorations d’Android 16 sont en fait périphériques et ne touchent pas profondément le cœur du système. Le gros travail d’adaptation fait avant a payé et LineageOS 23.0 a donc été publié.

Pour prévenir les réactions sur cette numérotation, l’équipe prend les devants : pourquoi 23.0 et pas 23.1, puisque la QPR1 d’Android est sortie ?

C’est justement là qu’est le problème. L'équipe réexplique le fonctionnement des bulletins de sécurité et de leur changement de rythme, et note l’alignement des gros bulletins trimestriels avec les QPR. Or, la QPR1 d’Android 16 a beau avoir été distribuée (diffusée immédiatement aux Pixel et envoyée aux constructeurs pour intégration), son contenu n’a pas été reversé à AOSP (Android Open Source Project), la branche open source sur laquelle le système de Google est basé et dans laquelle puisent les ROM personnalisées.

L’équipe pointe ainsi un bulletin de juillet vide, pour la toute première fois. Le bulletin d’aout ne contenait qu’un seul correctif, tandis que celui de septembre « a omis des correctifs pour plusieurs vulnérabilités, avec des correctifs partagés en privé avec des partenaires sous embargo ». C’était effectivement ce qu’annonçait Android Authority le mois dernier. L’équipe précise d’ailleurs que c’est la raison pour laquelle LineageOS 22.2 affichait un niveau de sécurité d’aout 2025 jusque tard en septembre.

LineageOS « s’adapte »

L’équipe affirme que l’adaptation est nécessaire et qu’elle n’a pas le choix.

Dans un premier temps, elle a pris la décision de lancer LineageOS 23.0, correspondant donc à la version initiale d’Android 16, ce qu’elle nomme « QPR0 ». Pour le reste, le développement de la ROM devra suivre le nouveau rythme de publication des bulletins de sécurité. Pas le choix, il faudra prendre son mal en patience et subir un décalage entre la publication des correctifs et leur arrivée effective dans AOSP.

Ce décalage sera également fonctionnel. Dans la QPR1 par exemple, Google a déployé son langage graphique Material 3 Expressive. Comme l’indique l’équipe dans son annonce, il faudra donc patienter pour le voir dans LineageOS. Il ne s’agit que d’un exemple, mais ce décalage se répercutera à l’ensemble des nouveautés dans les QPR et – sans doute plus grave – dans les bulletins de sécurité. Car comme nous l’indiquions dans notre précédente actualité, plus l’attente est grande entre la découverte d’une faille et sa correction, plus les risques d’exploitation sont grands.

L’équipe se veut quand même rassurante : le travail va continuer. LineageOS 23.0 comporte une longue série de mises à jour de ses composants, ainsi que plusieurs évolutions importantes dans les applications, répercutées sur les versions plus anciennes du système. Aperture, dédiée à la prise de photos, a ainsi été intégralement réécrite. La maintenance en sera beaucoup plus simple selon l’équipe, et plusieurs fonctions ont été ajoutées, dont le support du JPEG Ultra HDR, du RAW et de la capture RAW+JPEG.

Le lecteur musical Twelve gagne plusieurs nouveautés lui aussi, dont un bouton pour lancer directement des musiques aléatoires, l’ajout d’informations supplémentaires sur l’écran de lecture, le support du MIDI (oui oui) ou encore la possibilité de relancer l’analyse de la base, pour détecter des titres ajoutés récemment.