CVE-2026-2031: Google Cloud Application Integration: falta de autorização em APIs internas
A Google reportou uma falha de falta de autorização em vários endpoints de API internos do Google Cloud Application Integration, que afeta versões anteriores a 2026-01-23. O registro atribui pontuação CVSS v4.0 de 10 e descreve possível divulgação de informações e execução de código por atacante remoto não autenticado. O registro não mostra inclusão no catálogo KEV, nenhuma exploração confirmada nas fontes consultadas e nenhuma versão corrigida.
Visão geral
O registro descreve o CVE-2026-2031 como uma falha de controle de acesso inadequado (CWE-862, Falta de Autorização) em vários endpoints de API internos do Google Cloud Application Integration. Segundo o registro, esses endpoints foram expostos inadvertidamente, e as versões afetadas são as anteriores a 2026-01-23. A fonte é o CNA GoogleCloud, com entradas no NVD e no CVE.org.
Impacto
A descrição informa que um atacante remoto e não autenticado poderia divulgar informações internas sensíveis e executar código arbitrário por meio de requisições HTTP elaboradas enviadas aos endpoints expostos. A pontuação CVSS v4.0 do registro é 10 (Crítica), com alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável. O impacto real em cada ambiente depende da configuração, que o registro não descreve.
Produtos e versões afetados
- Produto indicado no registro: Google Cloud Internal Integration Platform APIs
- Versões indicadas: builds anteriores a 2026-01-23
- O registro não indica versão corrigida.
- O nome do produto no registro difere do nome usado no título, por isso a correspondência entre eles é desconhecida.
Status de exploração
O registro mostra que este CVE não consta no catálogo CISA KEV. Os campos SSVC indicam exploração como none e automatizável como no. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Identifique se sua organização usa o Google Cloud Application Integration e se alguma implantação é anterior a 2026-01-23.
- Consulte a orientação do fabricante e as notas de versão indicadas no registro: Notas de versão do Gemini Enterprise, 07 de maio de 2026. O registro não confirma que essas notas cobrem esta correção.
- Limite a acessibilidade de rede dos endpoints de API internos para que não sejam alcançáveis a partir de redes não confiáveis.
- Restrinja o acesso a esses serviços a identidades e redes conhecidas enquanto verifica o status de versão.
- Confirme com o fabricante a versão corrigida antes de encerrar o risco.
Orientações de detecção
- Revise inventários e mapas de rede em busca de endpoints internos de integração acessíveis fora do seu perímetro de confiança.
- Analise os logs de acesso em busca de requisições para endpoints de integração vindas de origens inesperadas ou fora do padrão normal da aplicação.
- Monitore alterações ou processos inesperados em hosts de integração, que podem indicar execução de código.
Limitações das informações disponíveis
- O registro não indica versão corrigida nem detalhes de correção além do limite de data.
- O registro estava marcado como Awaiting Analysis no momento do snapshot.
- A data do EPSS no registro (2026-10-13) é posterior à data de publicação, então os valores de EPSS devem ser interpretados com cautela.
- O registro não descreve quais endpoints foram expostos nem o alcance entre os clientes.
Perguntas frequentes
O CVE-2026-2031 é explorado?
O registro não lista este CVE no catálogo CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas. Trate a exposição com seriedade, pois o registro a classifica como crítica.
Quais builds do Google Cloud são afetados?
O registro indica builds anteriores a 2026-01-23 para as APIs internas da plataforma de integração do Google Cloud. Verifique as datas das suas implantações e confirme a build corrigida com o fabricante.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.