CVE-2026-1727: Agentspace: exposição de informações sensíveis por nomes previsíveis de buckets do Cloud Storage

Visão geral

O registro descreve uma fraqueza no serviço Agentspace em que nomes previsíveis de buckets do Google Cloud Storage eram usados para logs de erro e preparação temporária durante importações de dados do GCS e do Cloud SQL. Como os nomes podiam ser antecipados, um terceiro poderia criar os buckets antes do cliente, prática que o registro chama de bucket squatting. A referência citada são as notas de versão do Gemini Enterprise de 6 de fevereiro de 2026, vinculadas a este CVE no registro.

Impacto

A fraqueza é classificada como CWE-200, Exposição de Informações Sensíveis.
O CNA atribuiu pontuação base CVSS 4.0 de 9,1, com vetor de rede, baixa complexidade de ataque, nenhum privilégio exigido e nenhuma interação do usuário. O vetor indica alto impacto em confidencialidade e integridade no sistema vulnerável.
O registro não especifica quais tipos de dados eram registrados ou preparados nos buckets afetados.

Produtos e versões afetados

O registro não lista produtos nem intervalos de versões afetados de forma estruturada, por isso as versões afetadas do Agentspace são desconhecidas nas fontes consultadas.
O registro informa que as versões posteriores a 12 de dezembro de 2025 foram atualizadas.
Se versões anteriores foram afetadas é uma inferência a partir dessa data, não uma afirmação explícita.

Status de exploração

O registro indica que este CVE não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
O registro informa probabilidade EPSS de 0,00293 e percentil de 0,2033.

Correção e mitigação

O registro informa que nenhuma ação do usuário é necessária para versões atualizadas após 12 de dezembro de 2025.
Confirme pelas notas de versão do fornecedor que seu ambiente usa uma versão atual.
Revise quais buckets do Cloud Storage o serviço usa nas importações e confirme que sua organização os possui e controla.
Avalie se logs ou arquivos preparados nesses buckets contêm dados que exigem proteção ou políticas de retenção adicionais.

Orientações de detecção

Faça um inventário dos buckets do Cloud Storage associados ao serviço e confirme que cada um pertence à sua organização.
Monitore eventos de criação de buckets com nomes compatíveis com os fluxos de importação ou de logs do serviço que você não criou.
Revise os logs de acesso dos buckets usados pelo serviço em busca de padrões de acesso inesperados.

Limitações das informações disponíveis

O registro não contém título, lista de versões afetadas, identificadores de versões corrigidas nem identificadores de correção.
A única referência do fornecedor são as notas de versão, que não descrevem o escopo técnico da alteração.
O registro traz a pontuação CVSS do CNA e não apresenta uma pontuação NVD separada.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-02-06), por isso os valores EPSS devem ser verificados antes do uso.

Perguntas frequentes

Qual é a fraqueza central do CVE-2026-1727?

O serviço Agentspace usava nomes previsíveis de buckets do Google Cloud Storage para logs de erro e preparação temporária durante importações de dados, o que permitia que um terceiro criasse esses buckets primeiro.

Este CVE exige ação do usuário?

O registro informa que as versões posteriores a 12 de dezembro de 2025 já incluem a correção e que nenhuma ação do usuário é necessária. Ainda assim, é recomendável confirmar sua versão nas notas de versão do fornecedor.

Há exploração ativa conhecida deste CVE?

O registro indica que ele não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.