Google zamkl některé Androidy tak, že se už nikdy nevrátíte ke starší verzi. Kdo to zkusí, riskuje zničení telefonu

Květnová aktualizace 2026 pro čtyři modely Pixel 10 zvýšila bezpečnostní práh bootloaderu. Cesta zpět ke starším buildům Androidu 16 se tím zavřela.

Zdroj fotografie: Uživatel Nisiguti / Creative Commons / CC BY-SA

Nejde o všechny telefony s Androidem a nejde ani o celou řadu Pixel 10. Google ve svém oficiálním varování na stránce factory images jmenuje přesně čtyři modely: Pixel 10, Pixel 10 Pro, Pixel 10 Pro XL a Pixel 10 Pro Fold. Po instalaci květnového updatu 2026 se na těchto zařízeních zvýší takzvaná anti-rollback verze bootloaderu. To v praxi znamená, že telefon od této chvíle odmítne nabootovat jakýkoli starší build Androidu 16, který je pod novou minimální povolenou verzí. Kdo se o návrat ke starší verzi přesto pokusí, třeba ručním flashnutím staršího firmwaru, riskuje, že telefon skončí v nebootovatelném stavu. Google pro tento scénář používá termín „unbootable state“. Nejde tedy o fyzické zničení hardwaru, ale o softwarové znefunkčnění, po kterém telefon nenastartuje. Pro běžného uživatele je ale výsledek stejný: mrtvý displej a nefunkční zařízení.

Co přesně se stane, když to zkusíte

Pixely používají systém takzvaných A/B aktualizací. Telefon má dva sloty, aktivní a neaktivní. Když přijde nový update, nainstaluje se do neaktivního slotu a po restartu se sloty prohodí. Problém nastane ve chvíli, kdy uživatel po květnovém updatu flashne do jednoho slotu starší build. Aktivní slot s novým bootloaderem selže nebo je přepsán a telefon se pokusí přepnout na záložní slot. Tam ale najde starší bootloader s nižší anti-rollback verzí. Bezpečnostní mechanismus Android Verified Boot ho odmítne spustit. Výsledek: ani jeden slot nenabídne bootovatelný systém. Telefon zamrzne ve stavu, ze kterého se bez speciálního zásahu nedostane.

Google tento scénář popsal veřejně a rovnou nabídl prevenci: po prvním úspěšném startu na květnovém buildu doporučuje provést sideload odpovídajícího plného OTA image, aby oba sloty obsahovaly kompatibilní firmware. Tím se riziko bricku při případném selhání budoucí aktualizace minimalizuje.

Proč to Google dělá a proč zrovna teď

Oficiální zdůvodnění je bezpečnostní. Dokumentace Android Verified Boot vysvětluje, že rollback protection brání situaci, kdy útočník vrátí zařízení na starší verzi systému se známou zranitelností a tu pak zneužije. Klíče uložené v bezpečnostním čipu jsou navíc navázané na konkrétní verzi OS a úroveň bezpečnostních záplat, takzvaný version binding. Starší systém by k nim neměl mít přístup.

Google přitom toto opatření nezavádí poprvé. Na stejné stránce s factory images najdete obdobná varování pro starší modely: Pixel 6, 6 Pro, 6a a Pixel 8, 8 Pro, 8a dostaly podobný anti-rollback skok už při květnovém updatu 2025. Pixel 10 je tedy rozšířením existující linie, ne náhlým zvratem.

Zajímavou výjimkou je Pixel 10a. Ten v oficiálním varování chybí. Podle úniku z telegramového kanálu Mystic Leaks, který převzal Android Authority, je 10a z opatření vyjmut. Google důvod veřejně nevysvětlil. Nabízí se ale technická dedukce: Pixel 10a běží na čipu Tensor G4, zatímco zbylé modely řady 10 používají novější Tensor G5. Odlišná firmwarová větev může znamenat jiný bootloaderový cyklus.

Koho se to reálně týká

Běžný uživatel, který přijímá automatické aktualizace a neflashuje staré buildy, se nemusí bát okamžitého problému. Naopak Google v květnovém bezpečnostním bulletinu z 5. května 2026 zákazníky k instalaci aktualizace vyzývá. Riziko je reálné pro pokročilé uživatele, vývojáře a komunitu kolem custom ROM.

Dopad na projekty jako GrapheneOS je zásadní. Jejich instalační dokumentace popisuje, že rollback index je navázaný na bezpečnostní prvek v čipu a řetězec hardwarových pojistek (fuse chain). Na oficiálním fóru GrapheneOS se už v květnu objevily konkrétní případy uživatelů Pixelu 10 Pro, kterým po anti-rollback updatu selhala instalace starší verze: instalátor hlásil chybu při flashování bootloader partition a jediným řešením byl přechod na novější firmware.

Kdo si chce možnost návratu ke starší verzi zachovat, má v zásadě jedinou jistou cestu: květnový update vůbec nepřijmout. Pixely ale instalují aktualizace na pozadí a aktivují je po restartu, takže dlouhodobé vyhýbání se updatům vyžaduje aktivní úsilí a Google s ním nepočítá.

Není to jen Google: Samsung i OnePlus jdou stejným směrem

Podobný přístup volí i další výrobci. Samsung používá v rámci platformy Knox hardwarové rollback prevention fuses, které po aktualizaci brání návratu ke staršímu bootloaderu. Navíc má takzvaný Knox Warranty Bit: jakmile ho narušení důvěryhodného stavu „přepálí“, část Knox služeb včetně Workspace přestane fungovat, i když telefon jinak funguje dál.

OnePlus zavedl anti-rollback ochranu na hardwarové úrovni u modelů OnePlus 13, 13T a 15. Podle reportů 9to5Google a Android Authority z ledna 2026 pokusy o instalaci staršího softwaru u těchto modelů končily bricknutím. Na rozdíl od Googlu ale OnePlus neposkytl tak čitelnou oficiální dokumentaci problému ani jasný návod na prevenci.

Všechny tři modely Pixel 10, 10 Pro a 10 Pro XL jsou přitom oficiálně dostupné v Česku přes Google Store. Opatření se tedy přímo týká i českých majitelů: rozhodující není místo nákupu, ale to, zda telefon květnový update nainstaluje. Veřejně doložená cesta, jak anti-rollback verzi po instalaci snížit nebo resetovat, neexistuje.

Pixel se tímto krokem posouvá od „otevřeného telefonu pro experimentátory“ blíž k modelu, kde bezpečnostní minimum určuje výrobce a cesta zpět se po každém velkém updatu o kus víc zavírá.