两个内核 UAF 漏洞，Android Root 社区的新路线

11 月的 Android 安全公告列出了 CVE-2026-43499，加上 10 月 6 日公开的 CVE-2026-98260，两个都是内核提权级别的高危漏洞，而且第二个已经有公开的 Android Root 实验代码。对于想在不解锁 Bootloader 的前提下给手机 Root 的用户来说，这两条 CVE 是目前最值得追踪的路线。

一、两个漏洞，两种机制

CVE-2026-43499 出在 rtmutex 锁机制里，属于 Use-After-Free：锁对象被释放后，引用它的指针还活着，攻击者可以利用这块已经归还的内存完成本地权限提升。CVE-2026-98260 出在 POSIX CPU Timer 的内存释放路径上，同样属于 UAF 类别，定时器对象被提前释放，残留指针可被劫持来执行任意内核代码。

两者的共同点是都不需要物理接触设备，也不依赖 Bootloader 解锁作为初始提权步骤，这让它们在 Android Root 社区里比传统的「解锁 BL 才能玩」路线更有吸引力。

二、社区进展：Root 项目与设备适配

GitHub 上已经出现了针对 CVE-2026-98260 的 Android Root 项目。以 TimerRoot 为例，该项目实现了利用内核漏洞获取 UID 0、通过 Shizuku 启动提权流程、尝试引导 KernelSU 提供 Root 管理能力。目前公开验证的设备是荣耀 MagicPad3 Pro（内核 6.12.38），另有针对 6.12.58 的适配分支，但部分运行验证尚未完成。另一个 o3root 项目则面向小米的部分机型（内核 6.18.21）。

这些项目的共同特征是：初始提权不依赖 Bootloader 解锁，通过 Shizuku（一个运行在 ADB shell 权限级别的框架）作为跳板来触发内核漏洞，实现从普通 app 权限到 UID 0 的跨越。成功后再引导 KernelSU 接管 Root 管理。

三、对你的设备意味着什么

如果你的手机内核版本在 6.12 系列（例如 6.12.38 或 6.12.58），理论上处于这两个 CVE 的潜在影响范围内。但内核版本号相同不等于漏洞一定存在，厂商可能已经回移了安全补丁，内核地址空间布局随机化（KASLR）、SELinux 策略、编译选项都会影响漏洞的可利用性。 vivo 等厂商的定制内核尤其如此。

正确的评估流程是：先在设备上检查内核配置和补丁状态（cat /proc/version 看编译日期，对照安全公告的修复时间），再用非破坏性工具（如 KSU 检测脚本）确认漏洞是否可用，最后才考虑是否执行提权操作。

四、冷水：三条都得泼

一，公开的 Root 项目大多处于 PoC 阶段，「部分运行验证尚未完成」意味着你可能是第一个在特定设备上触发崩溃的人。二，Root 之后设备可能失去保修、部分银行和支付类 app 会拒绝运行、OTA 更新可能失败。三，内核提权漏洞被广泛利用后会促使厂商加快修复节奏，下一个安全补丁可能会封掉你辛苦搭好的 Root 环境。这不是假设，是 UAF 类漏洞的常态。

五、判断

这两个 CVE 代表了 Android Root 社区的一条新路线：不靠解锁 Bootloader，直接从内核漏洞入手提权。对于 device owner 来说，这是合法的自有设备改造；对于安全研究者，这是观察 Linux 内核 UAF 修复模式的好案例。但如果你的目标是「稳定的日常 Root」，KernelSU 引导成功只是起点，后续的维护成本（每次 OTA 后重新提权、模块兼容性排查）才是真正的考验。

来源：Google Android 安全公告（2026 年 11 月）；Open Source Vulnerabilities 数据库；GitHub TimerRoot 项目；GitHub o3root 项目。