Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

安全性公告

以下說明與 Application Integration 相關的所有安全性公告。

GCP-2026-068

發布日期： 2026 年 10 月 15 日

說明嚴重性附註

說明	嚴重性	附註
自 2026 年 10 月 15 日起，Application Integration 必須在「以服務帳戶身分執行」的服務帳戶中啟用 `iam.serviceAccounts.actAs`。該怎麼辦？ 2026 年 10 月 15 日後，測試功能和任何新整合項目都必須具備正確權限。現有整合功能及其新版本不受影響。詳情請參閱「為即將推出的授權異動做好準備」。解決哪些安全漏洞？ `AuthConfig` 驗證和整合執行階段中的授權不正確漏洞，可能允許經過驗證的使用者提高權限並模擬服務帳戶。	高	CVE-2026-85298

自 2026 年 10 月 15 日起，Application Integration 必須在「以服務帳戶身分執行」的服務帳戶中啟用 iam.serviceAccounts.actAs。

該怎麼辦？

2026 年 10 月 15 日後，測試功能和任何新整合項目都必須具備正確權限。現有整合功能及其新版本不受影響。詳情請參閱「為即將推出的授權異動做好準備」。

解決哪些安全漏洞？

AuthConfig 驗證和整合執行階段中的授權不正確漏洞，可能允許經過驗證的使用者提高權限並模擬服務帳戶。

高

CVE-2026-85298

GCP-2026-067

發布日期：2026 年 10 月 14 日

說明

說明嚴重性附註

說明	嚴重性	附註
在 2026 年 8 月 27 日前推出的 Application Integration 版本中，`AuthConfig` 驗證和整合執行階段存在授權不正確的安全漏洞。該怎麼辦？客戶無須採取任何行動。這項安全漏洞已於 2026 年 8 月 27 日修補。解決哪些安全漏洞？通過驗證的使用者可能會提升權限，並在 Google Cloud 專案中模擬服務帳戶。	高	CVE-2026-85298

在 2026 年 8 月 27 日前推出的 Application Integration 版本中，AuthConfig 驗證和整合執行階段存在授權不正確的安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 8 月 27 日修補。

解決哪些安全漏洞？

通過驗證的使用者可能會提升權限，並在 Google Cloud 專案中模擬服務帳戶。

高

CVE-2026-85298

GCP-2026-066

發布日期： 2026 年 9 月 28 日

說明	嚴重性	附註
在 2026 年 6 月 30 日前的 Application Integration 版本中，發現了電子郵件工作元件的「混淆副手」安全漏洞。該怎麼辦？客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 30 日修補。解決哪些安全漏洞？經過驗證的攻擊者可使用經過精心設計的附件路徑，讀取及竊取任意 Google 內部檔案。	高	CVE-2026-81375

說明

嚴重性

附註

在 2026 年 6 月 30 日前的 Application Integration 版本中，發現了電子郵件工作元件的「混淆副手」安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 30 日修補。

解決哪些安全漏洞？

經過驗證的攻擊者可使用經過精心設計的附件路徑，讀取及竊取任意 Google 內部檔案。

高

CVE-2026-81375

GCP-2026-065

發布日期： 2026 年 9 月 28 日

說明	嚴重性	附註
在 2026 年 6 月 28 日前的 Application Integration 版本中，JavaScript 工作存在「反序列化不受信任資料」安全漏洞。該怎麼辦？客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 28 日修補完畢。要解決哪些安全漏洞？具備標準權限的已驗證使用者，可能會利用特製指令碼在共用的正式伺服器上執行任意程式碼。	重大	CVE-2026-81867

說明

嚴重性

附註

在 2026 年 6 月 28 日前的 Application Integration 版本中，JavaScript 工作存在「反序列化不受信任資料」安全漏洞。

該怎麼辦？

客戶無須採取任何行動。這項安全漏洞已於 2026 年 6 月 28 日修補完畢。

要解決哪些安全漏洞？

具備標準權限的已驗證使用者，可能會利用特製指令碼在共用的正式伺服器上執行任意程式碼。

重大

CVE-2026-81867

GCP-2026-064

發布日期： 2026 年 9 月 28 日

說明	嚴重性	附註
在 2026 年 6 月 17 日之前的 Application Integration 版本中，我們發現工作設定存在授權錯誤安全漏洞。該怎麼辦？顧客無須採取任何行動。這項安全漏洞已於 2026 年 6 月 17 日修補完畢。要解決哪些安全漏洞？通過驗證的使用者可使用僅限內部的任務類型，從 Google 內部正式環境網路，以具特殊權限的身分執行任意內部 RPC。	重大	CVE-2026-19759

說明

嚴重性

附註

在 2026 年 6 月 17 日之前的 Application Integration 版本中，我們發現工作設定存在授權錯誤安全漏洞。

該怎麼辦？

顧客無須採取任何行動。這項安全漏洞已於 2026 年 6 月 17 日修補完畢。

要解決哪些安全漏洞？

通過驗證的使用者可使用僅限內部的任務類型，從 Google 內部正式環境網路，以具特殊權限的身分執行任意內部 RPC。

重大

CVE-2026-19759

GCP-2026-044

發布日期： 2026-06-25

說明	嚴重性	附註
Application Integration 的 JavaScript 工作使用 Rhino JavaScript 引擎，因此偵測到安全漏洞。這只會影響 2025 年 1 月前發布的工作。該怎麼辦？ Google 已改用更安全的 V8 JavaScript 引擎，在 Application Integration 中執行 JavaScript 工作。自 2025 年 1 月起，所有新發布的整合服務都使用 V8 引擎，且自 2026 年 3 月 30 日起，Rhino 引擎已全面淘汰。使用 Rhino 引擎的執行作業現在也會遭到封鎖。如果您在 2025 年 1 月前發布整合項目，請檢查 JavaScript 工作，確認沒有任何項目仍依賴 Rhino 引擎。凡是仍設定為使用 Rhino 的工作都將無法執行，必須遷移至 V8 引擎。如需遷移步驟，請參閱「遷移 JavaScript 工作」。解決哪些安全漏洞？這項漏洞 (CVE-2025-0982) 允許有權編寫及執行 JavaScript 工作的使用者，在 Application Integration 執行環境中執行任意程式碼。 JavaScript 工作先前使用 Rhino JavaScript 引擎執行使用者提供的 JavaScript。Rhino 允許使用 Java 反射和修改記憶體內權限物件，這些物件可以結合起來繞過 Java 安全管理員，並逃脫預期的執行沙箱。Google 已於 2025 年 1 月改用 V8 JavaScript 引擎，並將於 2026 年 3 月 30 日全面淘汰及封鎖 Rhino 引擎，藉此解決這個問題。	高	CVE-2025-0982

說明

嚴重性

附註

Application Integration 的 JavaScript 工作使用 Rhino JavaScript 引擎，因此偵測到安全漏洞。這只會影響 2025 年 1 月前發布的工作。

該怎麼辦？

Google 已改用更安全的 V8 JavaScript 引擎，在 Application Integration 中執行 JavaScript 工作。自 2025 年 1 月起，所有新發布的整合服務都使用 V8 引擎，且自 2026 年 3 月 30 日起，Rhino 引擎已全面淘汰。使用 Rhino 引擎的執行作業現在也會遭到封鎖。

如果您在 2025 年 1 月前發布整合項目，請檢查 JavaScript 工作，確認沒有任何項目仍依賴 Rhino 引擎。凡是仍設定為使用 Rhino 的工作都將無法執行，必須遷移至 V8 引擎。如需遷移步驟，請參閱「遷移 JavaScript 工作」。

解決哪些安全漏洞？

這項漏洞 (CVE-2025-0982) 允許有權編寫及執行 JavaScript 工作的使用者，在 Application Integration 執行環境中執行任意程式碼。

JavaScript 工作先前使用 Rhino JavaScript 引擎執行使用者提供的 JavaScript。Rhino 允許使用 Java 反射和修改記憶體內權限物件，這些物件可以結合起來繞過 Java 安全管理員，並逃脫預期的執行沙箱。Google 已於 2025 年 1 月改用 V8 JavaScript 引擎，並將於 2026 年 3 月 30 日全面淘汰及封鎖 Rhino 引擎，藉此解決這個問題。

高

CVE-2025-0982