L3 · 拉裤子了Google Cloud · IAM · 托管服务gcp-managed-boundaries

Google 披露已修复的 Compute Engine 磁盘授权及 Application Integration 代码执行漏洞

Google 10 月 26 日及 28 日公告披露 Compute Engine 磁盘数据 IAM 绕过，以及 Application Integration 的已认证代码执行问题。二者均在披露前由服务端修复，无需客户更新。

披露时间: 2026年10月26日; 公开披露日期
严重程度: 拉裤子了; 本页收录 2 个 CVE
波及范围: 此前受影响的 Compute Engine 授权及 Application Integration SubWorkflow 处理；要求认证; gcp
在野利用: 未知; 公告未报告利用活动或受害者数量。

发生了什么

这里汇总相邻托管服务公告中的两个独立漏洞。L3 体现云端授权及代码执行边界的风险，不能据此认定 Google Cloud 当前遭到入侵。

8 月 31 日服务端修复之前，用户可能在缺少所需 IAM 权限时导出磁盘数据。

CVE-2026-93327

9 月 11 日服务端修复之前，已认证用户可在 Application Integration 中提交特制序列化对象以执行代码。

产品	安全版本	备注
Compute Engine	`Provider patch, August 31, 2026`
Application Integration	`Provider patch, September 11, 2026`

我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。