Google Application Integration 严重漏洞：8月已修复

先分清8月修复与10月披露

Google 的 Application Integration 安全公告将 GCP-2026-068 的发布日期列为2026年10月14日，编号为 CVE-2026-85298，严重程度为 Critical。公告同时写明，漏洞已经在2026年8月27日修复。披露与修复是两个时间点，不能把今天看到公告理解成今天才出现漏洞或仍在等待补丁。

受影响范围的原文是 Application Integration 在8月27日之前的版本，涉及 AuthConfig 校验和集成执行运行时。公告没有提供可供客户比对的具体构建号，也没有列出精确修复时刻或分地区时间表。本文保留官方日期，不据此推算某个项目的实际暴露起止时间。

风险涉及授权边界，不等于任意访客都能利用

Application Integration 是 Google Cloud 的产品。此次公告描述的是不正确授权：已通过身份验证的用户可能提升权限，进而冒用同一 Google Cloud 项目中的服务账号。问题不只是一次请求失败，而是原本的身份与权限边界可能被跨越。

“已通过身份验证”是官方明确写出的条件。公告没有列出利用所需的具体角色、权限组合或请求步骤，不能将它改写成任何匿名访客都能利用，也不能反向承诺某个低权限角色必然不受影响。公告同样没有认定读者的服务账号、密钥或项目已被攻破。

官方说无需操作，当前没有客户补丁任务

GCP-2026-068 的处理说明明确表示无需客户采取操作，漏洞已于8月27日修复。这条公告没有要求客户下载更新、重建集成、修改 AuthConfig 或关闭产品。不能把 Critical 等级直接转成一项并不存在的紧急客户补丁任务。

“无需客户操作”说明本次修复不依赖客户执行补丁步骤，并不替任何具体项目完成历史安全调查。官方没有在这条公告中给出主动利用、客户受害范围或某个项目从未受影响的结论；是否需要进一步调查，应以自身证据和现有安全响应流程判断。

要评估自身风险，先做三项只读核对

以下是本文的运维建议，区别于 Google 的“无需客户操作”：先核对组织资产清单，确认相关项目是否使用过 Application Integration，以及需要评估的历史时间范围。只记录已知产品使用情况，不用今天的公告日期代替历史部署记录，也不把其他 Google Cloud 产品自动纳入本漏洞范围。

再按既有权限管理流程，核对相关集成的授权配置、涉及的服务账号、获授权人员和已有变更记录。重点是了解业务原本允许谁做什么，不因公告本身就批量撤销权限、轮换全部密钥或停用正常业务。公告没有发布这些统一整改要求。

最后整理现有可用的访问、执行和权限变更证据，并记录其时间范围与缺口。可用字段、留存期和历史记录完整程度以自己的环境为准；本文未检查任何客户项目，也不假定一定存在某一种日志或足以还原全部历史。

发现异常时，按证据升级处理

任务失败、权限拒绝或一次异常调用，本身都不足以证明 CVE-2026-85298 被利用；没有报错也不能证明不存在历史风险。若发现不符合预期的服务账号使用、授权配置或权限变更，应把相应时间、项目、身份、业务影响和现有记录交给安全负责人关联分析。

这是常规事件处理建议，而非本公告新增的处置命令。按已有流程决定后续调查或凭据处置，不向生产环境发送利用载荷，也不通过越权探测来“验证是否修好”。缺乏证据时，将项目影响记为尚未确定，不把漏洞等级、错误现象或已修复日期当成入侵结论。