Google separa la falla del cloud dal rischio nei workload clienti
Google ha pubblicato un advisory cloud da più bollettini il 25 agosto 2026 che chiarisce una frattura importante: l’infrastruttura Google Cloud non è il bersaglio, ma lo sono i workload dei clienti che girano su Google Cloud. Nel gruppo più sensibile c’è una RCE non autenticata critica in Next.js e libheif; in altri casi, come TPM 2.0 e Intel TDX, Google dice di intervenire con manutenzione gestita.
Il punto è il meccanismo di fiducia. Un’immagine costruita ad arte può far eseguire codice all’app durante l’ottimizzazione in Next.js, perché il componente a valle interpreta dati che l’app considera innocui. Questo lascia esposti il codice applicativo, le immagini di container e le versioni di pacchetto anche quando il piano infrastrutturale del provider non è vulnerabile.
Per chi usa Next.js su Google Cloud, la responsabilità non si esaurisce nella piattaforma. Le correzioni Google-managed coprono i componenti host e firmware che rientrano nelle finestre di manutenzione del provider; il rischio residuo resta nei deployment dei clienti, che vanno trattati come superficie separata.
1 fonte · 26 ago
CVE in questo aggiornamento
371 CVE
Distribuite tra react-server-dom-webpack, react-server-dom-turbopack, react-server-dom-parcel e altri pacchetti correlati.
20 critiche · 183 alte · 118 medie · 9 basse
24 in CISA KEV · 129 con EPSS sopra 1%
25 con codice di exploit pubblico funzionante o integrato