Google už napříště nehodlá zacelovat bezpečnostní díry ve WebView na Androidu 4.3 a starším. WebView se nazývá ta součást Androidu, která zobrazuje webový obsah, tedy je zobrazovacím jádrem výchozího prohlížeče, zvaného prostě „Browser“ nebo „Android Browser“. Android 4.4 („KitKat“) má však novější WebView, se základem sdíleným se stolním Google Chromem.
Změna postoje Googlu ke starému WebView vyplývá z jeho e‑mailové odpovědi na ohlášení nově objevené zranitelnosti ve WebView; citaci z odpovědi uveřejnila na svém blogu bezpečnostní firma Rapid7, tvůrci Metasploitu, pomůcky k penetračnímu testování, jež cílí také na jedenáct zranitelností ve WebView.
Google píše, že pro verze předcházející 4.4 „obecně nevyvíjí opravy sám, ale uvítá zaslání opravy spolu s ohlášením zranitelnosti“, popřípadě vložení opravy do AOSP (open‑sourcového základu Androidu). Mimo to, že „upozorní výrobce zařízení“ však „nebude schopen nic podniknout s hlášením bez připojené opravy“.
Rapid7 od Googlu dále vyzvěděl, že jiné součásti Androidu staršího než KitKat bude Google nadále zpětně opravovat. Společnost však již „necertifikuje“ ta zařízení od třetích stran, která obsahují jako prohlížeč „Android Browser“.
KitKat sice zatím nemá ani 40 % uživatelů (a zastoupení 5.0 „Lollipopu“ je prozatím bezvýznamné), ale v Googlu patrně usoudili, že bezpečnostní opravy pro vestavěný Android Browser beztak nejde šířit k uživatelům účinně rychle, jelikož tahle cesta vede přes výrobce zařízení. Rychle lze něco dostat k uživatelům jedině přes Google Play. A Chrome z Google Play lze zavést do Androidu už od verze 4.0 výše. (Některé náhradní prohlížeče možná podporují Android ještě starší.)
Na Androidu 4.3 a starším byste nejspíše měli aplikaci „Browser“ konečně zakázat (ve výpise aplikací; až po zavedení jiného prohlížeče), jestliže jste tak ještě neučinili.
