Google Cloud BuildでRCE脆弱性 CVE-2026-19410 — GitHub連携の認可不備で未レビューコードを実行、Googleは6月に修正済み

Googleは2026年8月24日、マネージドなビルド実行サービス「Google Cloud Build」のGitHub連携機能で認可の不備による脆弱性を修正したと公表した。脆弱性は「CVE-2026-19410」として登録され、GoogleはCloud Buildのリリースノートで「Incorrect Authorization vulnerability CVE-2026-19410, in GitHub Trigger Comment Control in Cloud Build, was fixed. No customer action is needed.（GitHub Trigger Comment Controlにおける不適切な認可の脆弱性CVE-2026-19410を修正した。顧客側の対応は不要）」と記載した。現地時間2026年6月24日に修正が完了していたことを同社は明らかにしている。

何が起きたか — GitHub連携の「コメント制御」に認可不備

Cloud Buildはソースコードのリポジトリへの変更をきっかけにビルドやテストを自動実行するサービスである。GitHubと連携する機能として「GitHub Trigger Comment Control」があり、GitHub上のコメント操作をトリガーにビルドを制御できる。

Googleによると、この制御機能で認可のチェックが不十分だった。攻撃者は本来レビューを経ていないコードを、Cloud Buildのビルド環境で実行させることができた可能性がある。Googleは脆弱性を「Incorrect Authorization（不適切な認可）」と分類している。

Googleは不具合を2026年6月24日（現地時間）に修正した。公表は修正から約2か月後の2026年8月24日で、リリースノートの「Security」区分として掲載された。Googleは修正に伴う顧客側の追加対応は不要と説明している。

影響を受けたのはどこか

影響を受けるのは、Cloud BuildでGitHub連携を使い、GitHub Triggerのコメント制御を有効にしていた環境である。クラウド上でビルドが実行される性質上、未レビューのコードがビルド環境で動作すれば、ビルドに紐づく認証情報や成果物、関連するクラウドリソースに影響が及ぶ可能性があると一般に考えられる。ただしGoogleは今回のリリースノートで、具体的な悪用の有無や影響範囲の詳細は示していない。

日本の利用者が確認すべきこと

Googleは顧客側の対応は不要としている。日本の組織がCloud Buildを利用している場合は、Google Cloudのリリースノートで修正が適用済みであることを確認できる。

Google Cloud Buildは、アプリケーションの継続的インテグレーション／継続的デプロイ（CI/CD）で広く使われる。GitHub連携のトリガー設定を見直す際は、誰がどの操作でビルドを開始できるかを最小権限で管理し、未レビューのプルリクエストからの自動実行を制限することが重要だと一般に推奨される。ただし今回の脆弱性については、Googleが修正済みであるため、利用者側で追加のパッチ適用は求められていない。

出典

• Cloud Build release notes — Google Cloud Documentation（2026年8月24日「Security」区分でCVE-2026-19410の修正を記載）
• CVE-2026-19410 — CVE MITRE