CVE-2026-2264: SSRF e Exposição de Tokens no Google Cloud Apigee-X pela Política SetIntegrationRequest

Visão geral

O registro descreve a CVE-2026-2264, uma falha na política SetIntegrationRequest do Google Cloud Apigee-X que possibilita Server-Side Request Forgery (SSRF) e a exfiltração de tokens de acesso de contas de serviço. O CNA é o Google Cloud e a fraqueza está classificada como CWE-918. Segundo o registro, a exploração exige que um administrador configure previamente o proxy de API de forma insegura.

Impacto

O registro classifica o problema como crítico, com pontuação base CVSS 4.0 de 9,2 e um vetor que indica alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável. Como a falha pode expor tokens de acesso de contas de serviço, um ataque bem-sucedido poderia permitir que o atacante atuasse com os privilégios da conta afetada. Essa consequência é uma inferência a partir da descrição e não é detalhada nas fontes.

Produtos e versões afetados

O registro lista o Google Cloud Apigee-X como afetado nas versões anteriores a 1.14.4, anteriores a 1.15.2 e anteriores a 1.16.1. O registro não traz uma lista separada de versões corrigidas. As organizações devem confirmar a versão exata em uso no boletim do fornecedor GCP-2026-034.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA, e o valor de exploração no SSVC é none. Não há exploração confirmada na natureza nas fontes consultadas. O registro também informa uma probabilidade EPSS de 0,0036 (percentil 0,27903), o que indica baixa probabilidade modelada de atividade de exploração.

Correção e mitigação

Consulte o boletim de segurança do fornecedor e aplique a atualização do Apigee-X correspondente à sua linha de versão.
Audite os proxies de API que usam a política SetIntegrationRequest e remova configurações inseguras.
Restrinja quais administradores podem criar ou alterar configurações de proxy e aplique o princípio do menor privilégio às contas de serviço.
Rotacione as credenciais das contas de serviço caso haja qualquer indício de exposição de tokens.

Orientações de detecção

Revise alterações nas configurações de proxies de API e encaminhe o uso da política SetIntegrationRequest para análise de segurança.
Monitore requisições de saída dos componentes de execução do Apigee para endpoints internos ou de metadados e investigue destinos inesperados.
Verifique os logs de auditoria em busca de uso incomum das credenciais de contas de serviço.

Limitações das informações disponíveis

O registro não descreve qual configuração exata se torna insegura, as condições técnicas para a exploração nem o caminho de ataque. Ele não informa explicitamente uma versão corrigida, e a lista de correções está vazia. A data de EPSS no registro (2026-10-13) é posterior à data de publicação (2026-05-26) e deve ser verificada. O boletim do fornecedor vinculado não foi analisado integralmente nesta análise.

Perguntas frequentes

Quais versões do Apigee-X o registro lista como afetadas?

O registro lista as versões do Google Cloud Apigee-X anteriores a 1.14.4, anteriores a 1.15.2 e anteriores a 1.16.1. Consulte o boletim GCP-2026-034 para confirmar a versão exata em uso.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não inclui esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

O que os administradores devem fazer primeiro?

Aplicar a atualização do Apigee-X para a linha de versão em uso, auditar os proxies que usam a política SetIntegrationRequest e rotacionar as credenciais das contas de serviço se houver suspeita de exposição.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.