Descripción
Una vulnerabilidad de deserialización de datos no confiables en la tarea SubWorkflow de Google Cloud Application Integration, en versiones anteriores a 2026-09-11 en Google Cloud Platform, permite a un atacante autenticado ejecutar código arbitrario mediante un objeto serializado especialmente manipulado. Esta vulnerabilidad fue corregida el 11 de septiembre de 2026 y los clientes no necesitan tomar ninguna acción.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Application Integration Afectadas: anteriores a 2026-09-11
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en docs.cloud.google.comdocs.cloud.google.com/support/bulletins
Ver el texto original en inglés (CVE.org)
Unsafe Java Deserialization in Application Integration SubWorkflow tasks allows Remote Code Execution
A Deserialization of Untrusted Data vulnerability in the SubWorkflow task in Google Cloud Application Integration versions prior to 2026-09-11 on Google Cloud Platform allows an authenticated attacker to execute arbitrary code using a maliciously crafted serialized object. This vulnerability was patched on 11 September 2026, and no customer action is needed.