Application Integrationのコード実行脆弱性を修正
Google Cloud Application IntegrationのSubWorkflowタスクに、認証済みの利用者が任意のコードを実行できる脆弱性があり、Google側で2026年9月11日に修正されました。利用者の作業は不要です。連携フローを編集できる人の権限は、見直しておくとあとが楽です。
急ぎ度: 計画的に
CVSS v4は9.4と高い値ですが、Googleがサービス側で2026年9月11日に修正済みで、利用者の更新作業は要りません。
関係があるか
Google Cloud Platform上のApplication Integrationを使っている組織が対象です。ただし修正はGoogle側で完了しており、利用者の環境に手を入れる必要はありません。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Google Cloud Application Integration（Google Cloud Platform上） | 2026-09-11より前の版 | 2026-09-11に修正済み。利用者の対応は不要 |
確かめ方
- 1Google CloudのプロジェクトでApplication Integrationを有効にしているか、コンソールで確認します。
- 2使っている場合は、SubWorkflowタスクを含む連携フローがあるか、一覧から洗い出します。
- 3Googleのセキュリティ情報（Security Bulletins）で、この脆弱性の記載と対応状況を確認します。
何が起きたか
Google CloudのApplication Integrationで、SubWorkflowタスクを通じて、細工されたデータを渡すと任意のコードを実行されてしまう脆弱性が見つかりました。Googleは2026年9月11日にサービス側で修正を終えており、脆弱性情報の公表は2026年10月30日です。
原因は、信頼できないデータを元のオブジェクトに戻す処理（Javaのデシリアライズ）にあります。タスクが受け取ったデータの中身を十分に確かめないまま復元するため、攻撃者が用意したオブジェクトがそのまま実行環境で動いてしまいます。分類はCWE-502です。
Googleは告知で「顧客の対応は不要」としています。利用者が版を上げる作業はありません。
攻撃の流れ
-
1
認証済みで接続
Application Integrationを使える権限を持つ攻撃者が、サービスにネットワーク経由でアクセスします。
-
2
細工データを投入
SubWorkflowタスクに、悪意を持って作られた直列化オブジェクトを渡します。
-
3
復元時にコード実行
タスクがオブジェクトを復元する際に、攻撃者の用意したコードが動きます。
-
4
連携環境へ影響
機密性・完全性・可用性のすべてに高い影響が出うると評価されています。
どう悪用されるか
悪用には認証が必要です。ただし必要な権限は低い水準と評価されており、ネットワーク経由で、利用者に何かを操作させる必要もありません。攻撃の難しさも低いとされています。
悪用されると、機密性・完全性・可用性のいずれにも高い影響が出ます。CVSS v4のベクターは、脆弱性のあるシステムの外側にも高い影響が及ぶと評価しています。Application Integrationは複数のサービスをつなぐ基盤なので、つながった先のデータや処理にも影響が出る前提で見ておく必要があります。
今すぐやること
-
1
対応不要であることを告知で確認する
Googleのセキュリティ情報で、この脆弱性の記載と、2026年9月11日に修正済みであることを確認します。社内への報告も、この内容で足ります。
-
2
利用状況を洗い出す
Application Integrationを使っているプロジェクトと、SubWorkflowタスクを含む連携フローを一覧にします。使っていなければ、ここで終わりです。
-
3
編集できる人の権限を見直す
悪用には認証が前提なので、連携フローを作成・編集できるアカウントを確認します。退職者や使っていないアカウント、広すぎる権限があれば整理します。
-
4
修正前の期間の監査ログを見る
2026年9月11日より前に、見覚えのない連携フローの作成や変更がないか、監査ログで確かめます。不審な操作があれば、連携先の認証情報の入れ替えも検討します。
背景
Application Integrationは、Google Cloud上でSaaSやデータベース、各種APIをつなぐ業務フローを組むためのサービスです。フローは接続先の認証情報や業務データを扱うため、実行環境で任意のコードが動くと、一つのサービスにとどまらず、つながった先まで影響が広がりかねません。SubWorkflowタスクは、フローの中から別のフローを呼び出す部品です。
Javaのデシリアライズは、Javaの標準的な直列化機能で復元するデータが外部から来るとき、コード実行につながることが広く知られています。今回の脆弱性も、その型のものです。サービス側で修正されたため、利用者がライブラリを更新する性質のものではありません。
よくある質問
Q.自社でJavaのデシリアライズを使った連携を作っている場合も関係しますか。
まだ分かっていないこと
- 修正前の期間に、この脆弱性が実際に悪用されたかどうかは分かっていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Google Cloud | Application Integration |
2026-09-11 未満 |
2026-09-11 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A Deserialization of Untrusted Data vulnerability in the SubWorkflow task in Google Cloud Application Integration versions prior to 2026-09-11 on Google Cloud Platform allows an authenticated attacker to execute arbitrary code using a maliciously crafted serialized object.
This vulnerability was patched on 11 September 2026, and no customer action is needed.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web docs.cloud.google.com
- web nvd.nist.gov
- web github.com