Google separa la falla del cloud dal rischio nei workload clienti
Google ha pubblicato un advisory cloud da più bollettini il 25 agosto 2026 che chiarisce una frattura importante: l’infrastruttura Google Cloud non è il bersaglio, ma lo sono i workload dei clienti che girano su Google Cloud. Nel gruppo più sensibile c’è una RCE non autenticata critica in Next.js e libheif; in altri casi, come TPM 2.0 e Intel TDX, Google dice di intervenire con manutenzione gestita.
Il punto è il meccanismo di fiducia. Un’immagine costruita ad arte può far eseguire codice all’app durante l’ottimizzazione in Next.js, perché il componente a valle interpreta dati che l’app considera innocui. Questo lascia esposti il codice applicativo, le immagini di container e le versioni di pacchetto anche quando il piano infrastrutturale del provider non è vulnerabile.
Per chi usa Next.js su Google Cloud, la responsabilità non si esaurisce nella piattaforma. Le correzioni Google-managed coprono i componenti host e firmware che rientrano nelle finestre di manutenzione del provider; il rischio residuo resta nei deployment dei clienti, che vanno trattati come superficie separata.