Android 4.3（Jelly Bean）以前の”Webkit Webview”サポート終了か

WebView for Android - Google Chrome

• Google、Android 4.3以下には「WebView」のセキュリティパッチ提供を打ち切りか - Appllio
• Google No Longer Provides Patches for WebView Jelly Bean and Prior - Rapid7

If the affected version [of WebView] is before 4.4, we generally do not develop the patches ourselves, but welcome patches with the report for consideration. Other than notifying OEMs, we will not be able to take action on any report that is affecting versions before 4.4 that are not accompanied with a patch.

”Android 4.3以前のWebkitベースのWebviewについては、脆弱性を報告されてもGoogle自らパッチを開発しない。パッチを伴わない脆弱性の通報については、OEMに通知する以上の対応はしない。”とGoogleから返事があったとのこと。


※Android 4.3（Jelly Bean）以前のサポートを全て打ち切ったわけではないので注意。あくまでも、Webkit Webview（後述）に関してです。


Googleは現状Nexus 4/Nexus 7(2012)以上の機種についてはAndroid 5.0へのアップデートを提供しており、Galaxy Nexus以前の機種については既にサポートアウトを明言していることから、ある程度納得できるというか、やむを得ない回答です。
Android 4.4 KitKat以降、WebviewはWebkitベースからChrome（Chromium）ベースに変更されており、4.3以前と4.4以降ではベースが異なっているからです。Webkit Webviewの開発はすでに終了したってことでしょうね。


とは言え、Jelly bean以前を搭載している機種はまだまだたくさん存在するので、”Webkit Webviewの脆弱性が放置され悪用され放題”ということにはならないと思います。
Webviewの脆弱性情報は（少なくとも）OEM各社に通報されるということなので、Jelly bean以前のAndroid OSを搭載した機種への修正アップデートは、サポート対象となっている機種向けにOEM各社がそれぞれパッチを開発して提供してくれることでしょう。

逆に言うと、古いOSを搭載したAndroid機種を提供しているキャリア・OEM各社に対して、自らサポートを継続するか、最新のOSへアップデートするかの2択をGoogleが迫っていると考えることも出来るかも。

ちなみに、Android 5.0 Lollipopでは、WebviewがOSから切り離され、Google Playから直接最新のアップデートが配布されます。Google Play開発者サービスと同じ仕組みですね。

Chrome Webviewに変更されてからいつかはこうなることになると思っていましたが、あらためてAndroidにまとわりつく”OS分断化”問題が顕表面化した形になりました。