CVE-2026-7428: Senha administrativa padrão insegura no Google Cloud AlloyDB for PostgreSQL
Clusters do Google Cloud AlloyDB for PostgreSQL criados via Terraform ou API REST antes de 2025-11-03 podiam receber uma senha administrativa padrão insegura. O registro indica pontuação CVSS 4.0 de 9,2 (crítica), e não há exploração confirmada nas fontes consultadas. Recomenda-se verificar e trocar as credenciais administrativas dos clusters potencialmente afetados.
Visão geral
A CVE-2026-7428 trata de uma senha administrativa padrão insegura que podia ser definida na criação de clusters do AlloyDB for PostgreSQL via Terraform ou API REST. Segundo o registro, o problema se aplica a versões anteriores a 2025-11-03.
Impacto
- O registro indica que um atacante remoto com acesso de rede ao cluster poderia obter acesso administrativo total ao banco de dados.
- O vetor CVSS 4.0 classifica o impacto sobre o sistema vulnerável como alto para confidencialidade, integridade e disponibilidade, e o impacto técnico no SSVC é total.
- Segundo o registro, a exploração era restrita a clientes que usavam Terraform ou a API REST.
Produtos e versões afetados
- Google Cloud AlloyDB for PostgreSQL, listado com versões anteriores a 2025-11-03.
- O registro não apresenta versões corrigidas. Se existe uma versão com correção e qual é seu identificador, é desconhecido com os dados disponíveis.
Status de exploração
Neste registro, a CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas. O valor de exploração no SSVC é none e o campo automatizável é no. A EPSS indica probabilidade de 0,00406, com percentil de 0,32976.
Correção e mitigação
- Consulte as notas de versão do fornecedor indicadas nas referências e confirme se o seu ambiente AlloyDB reflete as mudanças relevantes.
- Identifique clusters criados via Terraform ou API REST antes de 2025-11-03 e verifique se as senhas administrativas não são padrão ou previsíveis.
- Troque as credenciais administrativas por valores únicos e fortes, armazenados em um gerenciador de segredos, e remova senhas fixas de templates de infraestrutura como código.
- Restrinja o acesso de rede aos endpoints dos clusters apenas a origens confiáveis.
Orientações de detecção
- Revise logs de auditoria do banco e da nuvem em busca de logins administrativos de origens ou horários inesperados.
- Verifique repositórios de infraestrutura como código e o histórico de implantações quanto à criação de clusters no período afetado.
Limitações das informações disponíveis
- O registro não informa a data exata da correção nem passos detalhados de remediação.
- Não há identificador de versão corrigida no registro.
- O conteúdo da referência de notas de versão não foi verificado nesta análise.
- Não é possível determinar, a partir do registro, se uma senha padrão ainda está definida em algum cluster específico.
Perguntas frequentes
A CVE-2026-7428 é conhecida por ser explorada ativamente?
O registro indica que a CVE não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais clusters do AlloyDB podem ser afetados?
Segundo o registro, clusters criados via Terraform ou API REST antes de 2025-11-03 podiam receber uma senha administrativa padrão insegura.
Por onde começar a resposta?
Identifique os clusters afetados, verifique as credenciais administrativas, troque-as por valores únicos e fortes, restrinja o acesso de rede e consulte as notas de versão do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.