GrapheneOS修复了Android系统VPN数据泄露漏洞，而谷歌拒绝修补该漏洞。这一安全漏洞可能导致用户隐私数据外泄，GrapheneOS团队主动解决了该问题。

石墨烯操作系统修复了谷歌拒绝修补的安卓VPN漏洞

2026年5月6日
网络安全媒体CyberInsider报道

专注于隐私安全的安卓分支系统GrapheneOS近日发布更新，修复了一个可导致用户真实IP地址泄露的VPN旁路漏洞。该漏洞即使在启用安卓"始终开启VPN"和"拦截非VPN连接"保护的情况下依然存在。

漏洞详情

• 技术原理：漏洞源于安卓16系统网络栈新增的QUIC连接终止功能。普通应用仅需基础网络权限即可注册任意UDP数据包，当应用套接字销毁时，系统进程会通过物理网络接口直接发送这些数据包，完全绕过VPN隧道。
• 实际影响：研究人员在搭载Proton VPN的Pixel 8设备上成功演示，攻击应用能泄露设备的真实公网IP地址。
• 谷歌态度：安卓安全团队将该漏洞标记为"不予修复（不可行）"，认为其未达到安全公告标准。

解决方案

GrapheneOS在最新版本2026050400中通过禁用相关QUIC优化彻底修复该漏洞。普通用户可通过ADB命令临时禁用相关功能，但该方案需要开发者权限且可能被后续系统更新覆盖。

系统背景

GrapheneOS是基于安卓开发的隐私增强系统，主要支持Pixel设备，以强化应用沙箱、漏洞防护和减少谷歌服务依赖著称。本次更新还包含2026年5月安卓安全补丁、内核升级等多项改进。

（注：原文中大量导航菜单、社交媒体分享按钮等非核心内容已精简，保留技术细节和事件发展脉络。）

总结评论内容：

1. 对VPN漏洞严重性的质疑（3条评论支持）

• "how can someone classify a VPN leak as 'not a security issue'"（unethical_ban）
• "So a VPN isn't a VPN on Android?"（nottorp）

2. 指控Android系统存在后门/间谍软件（3条评论支持）

• "It wasn't patched by Google because it's a backdoor"（OutOfHere）
• "Stock Android is spyware and adware"（zb3）

3. 质疑Google处理漏洞的时效性（1条评论）

• "Why not just release immediately?"（hedora）

关键争议点： - 技术层面：系统服务享有网络特权是否合理（nottorp提问其他系统情况） - 道德层面：用户对基础系统功能的信任危机（zb3提及软件恶意性演变）

注：所有评论均未显示评分，观点呈现明显负面倾向，主要围绕Android系统的安全性和Google的诚信问题。