Kurzfassung
Google hat in Google Cloud Application Integration zwei kritische Schwachstellen behoben: CVE-2026-19759 und CVE-2026-81867. Beide werden mit CVSS 9.4, kritisch bewertet und betreffen Angriffe über das Netzwerk durch bereits angemeldete Nutzer mit geringen Rechten. Nach den verfügbaren Angaben hat Google die Probleme serverseitig am 17. Juni 2026 beziehungsweise 28. Juni 2026 geschlossen; Maßnahmen auf Kundenseite nennt Google nicht.
Was ist passiert?
Betroffen ist Google Cloud Application Integration, ein Dienst auf der Google-Cloud-Plattform zur Orchestrierung von Abläufen zwischen Anwendungen und Diensten. In diesem Umfeld wurden zwei voneinander getrennte, aber ähnlich schwerwiegende Schwachstellen bekannt.
CVE-2026-19759 betrifft die Aufgabenkonfiguration. Ein authentifizierter Google-Cloud-Nutzer konnte darüber interne RPC-Aufrufe aus dem Produktionsnetz von Google unter einer privilegierten Identität ausführen, wenn ein nur intern vorgesehener Aufgabentyp missbraucht wurde.
CVE-2026-81867 steckt in der JavaScript-Task. Hier konnte ein authentifizierter Nutzer mit Standardberechtigungen durch ein speziell präpariertes Skript Schutzmechanismen umgehen und beliebigen Code auf gemeinsam genutzten Produktionsservern ausführen.
Google nennt als Patch-Daten den 17. Juni 2026 für CVE-2026-19759 und den 28. Juni 2026 für CVE-2026-81867. Für Kunden sei keine Aktion erforderlich.
Technische Details
Beide Schwachstellen tragen einen Basiswert von CVSS 9.4 nach CVSS 4.0. Der Vektor beschreibt einen Angriff über das Netzwerk mit geringer Komplexität, ohne Nutzerinteraktion und mit bereits vorhandenen niedrigen Berechtigungen: Angreifer müssen also angemeldet sein, brauchen aber keine erweiterten Rechte und keine Mithilfe weiterer Nutzer. Der Wert beschreibt die technische Schwere, nicht automatisch eine bestätigte Ausnutzung in freier Wildbahn.
Bei CVE-2026-19759 liegt der Kern des Problems in fehlerhafter Autorisierung innerhalb der Task-Konfiguration. Das Risiko ist besonders hoch, weil der Fehler den Sprung von normalen Kontorechten zu internen, privilegierten Abläufen innerhalb von Googles Produktionsumgebung ermöglicht haben soll.
CVE-2026-81867 ist eine Deserialisierungs-Schwachstelle bei der JavaScript-Task. Solche Fehler sind regelmäßig kritisch, weil aus manipulierten Eingaben direkt Codeausführung entstehen kann. In diesem Fall wiegt zusätzlich schwer, dass laut NVD gemeinsam genutzte Produktionsserver betroffen waren und Schutzprüfungen umgangen werden konnten.
Wer ist betroffen?
Relevant ist die Meldung für Unternehmen, die Google Cloud Application Integration produktiv nutzen oder in der jüngeren Vergangenheit genutzt haben. Betroffen waren laut NVD Versionen vor dem 17. Juni 2026 bei CVE-2026-19759 und vor dem 28. Juni 2026 bei CVE-2026-81867.
Da es sich um einen von Google betriebenen Cloud-Dienst handelt, ist die praktische Betroffenheit im DACH-Raum vor allem eine Frage der Nutzung des Dienstes und der vergebenen Identitäten. Wer Application Integration nicht einsetzt, ist hiervon nicht direkt betroffen. Für klassische On-Premises-Umgebungen ohne Bezug zu Google Cloud ist die Meldung kaum relevant.
Wichtig für Sicherheitsverantwortliche: Beide Lücken setzten bereits authentifizierte Konten voraus. Das verschiebt den Fokus weg vom externen Massenangriff hin zu Missbrauch legitimer Cloud-Identitäten, kompromittierter Benutzerkonten oder zu weit gefasster Rollen.
Empfohlene Maßnahmen
Auch wenn Google keine Kundenaktion verlangt, sollten Admins den Fall nicht einfach abhaken. Sinnvoll sind vor allem diese Schritte, priorisiert nach Praxisnutzen:
- Prüfen Sie zuerst, ob Google Cloud Application Integration in Ihrem Mandanten aktiv genutzt wird. Dokumentieren Sie betroffene Projekte, Umgebungen und verantwortliche Teams.
- Überprüfen Sie IAM-Rollen und Gruppenmitgliedschaften. Da beide Lücken authentifizierte Nutzer mit niedrigen Rechten voraussetzen, lohnt sich eine Bereinigung unnötiger Standardzugriffe besonders.
- Sichten Sie Audit- und Aktivitätsprotokolle rund um den 17. Juni 2026 und 28. Juni 2026. Achten Sie auf ungewöhnliche Task-Konfigurationen, JavaScript-Tasks, auffällige Integrationsänderungen und unerwartete Ausführungen.
- Kontrollieren Sie Service-Konten und Delegationspfade. Wenn interne Integrationen an privilegierte Identitäten gekoppelt sind, sollten deren Berechtigungen auf das notwendige Minimum reduziert werden.
- Erhöhen Sie die Hürden für Kontoübernahmen. Erzwingen Sie Mehrfaktor-Authentifizierung, starke Sitzungsrichtlinien und möglichst eng begrenzte Administratorrechte in Google Cloud.
- Bewerten Sie Drittanbieter- und Entwicklerzugriffe. Gerade bei Integrationsplattformen entstehen Risiken oft durch breit verteilte Bearbeitungsrechte in Fachbereichen oder DevOps-Teams.
Da keine explizite Herstellerseite mit weiterführenden Details oder einem Advisory-Link genannt ist, lässt sich hier kein direkter Verweis auf offizielle Patch-Informationen setzen.
Einschätzung von CyberSecurity-News.de
Technisch sind beide Schwachstellen gravierend. Vor allem die Kombination aus niedrigen erforderlichen Rechten, fehlender Nutzerinteraktion und möglicher Codeausführung beziehungsweise privilegierten internen Aufrufen rechtfertigt die Einstufung als kritisch.
Für die meisten Unternehmen im DACH-Raum ist das Risiko trotzdem enger begrenzt als bei breit ausnutzbaren Internet-Diensten oder lokal zu patchenden Standardprodukten. Der Kreis der Betroffenen beschränkt sich auf Nutzer von Google Cloud Application Integration, und Google hat die Lücken nach eigener Darstellung serverseitig behoben. Das senkt den akuten Handlungsdruck deutlich.
Die Informationslage bleibt dennoch unvollständig. NVD liefert die Kerndaten, aber keine belastbaren Angaben dazu, ob die Schwachstellen aktiv ausgenutzt wurden, wie lange sie bereits bestanden oder welche konkreten Telemetrie-Indikatoren Kunden zur Rückschau nutzen könnten. Für Verteidiger ist das unbefriedigend, weil gerade bei Cloud-Diensten die nachträgliche Prüfung stark von den vom Anbieter offengelegten Details abhängt.
Fazit
Wer Google Cloud Application Integration einsetzt, sollte die beiden behobenen Lücken CVE-2026-19759 und CVE-2026-81867 zum Anlass nehmen, Identitäten, Rollen und Protokolle im betroffenen Dienst zu überprüfen. Ein Notfall-Patching ist laut Google nicht nötig, aber eine saubere Nachkontrolle auf Missbrauch und überflüssige Berechtigungen ist in produktiven Cloud-Umgebungen Pflicht.
