Google спочатку похвалив дослідника, а потім відкликав винагороду за критичний баг CVSS 10.0 у GCP

Одна з найбільш заплутаних історій у сфері кібербезпеки цього року: Google спочатку похвалив дослідника за критичну вразливість у хмарній інфраструктурі, а потім відмовився платити винагороду, назвавши той самий баг «роботою в штатному режимі». І це при тому, що вразливість досі не виправлено. Про цю історію вперше повідомило видання The Register .

Що таке ConfigConfusion?

Дослідник безпеки Джастін О'Лірі (Justin O'Leary) виявив критичну ваду в Config Connector — відкритому додатку до Kubernetes, який дозволяє компаніям керувати всім середовищем Google Cloud через Kubernetes . Він назвав цю вразливість ConfigConfusion.

Як це працює: Config Connector не перевіряє авторизацію, коли користувач простору імен Kubernetes намагається керувати ресурсами GCP. Це дозволяє будь-якому сервісному обліковому запису Config Connector з правами на рівні організації обійти IAM-контроль Google Cloud і отримати найвищий рівень доступу — roles/owner — над цілою організацією GCP, тобто кореневим вузлом усіх ресурсів компанії . О'Лірі оцінює цю вразливість у CVSS 10.0 — максимальний бал, оскільки зловмисник із базовим доступом до простору імен Kubernetes може отримати повний адміністративний контроль над усією хмарою організації та всіма даними в ній .

Суперечлива реакція Google

Історія відповіді Google — це низка суперечливих рішень.

Фаза 1 — «Чудовий улов!» О'Лірі повідомив про баг Google 8 березня 2026 року . 27 березня інженер з безпеки Google прийняв звіт і написав йому: «Nice Catch!» . Інженер заявив, що передав баг відповідній продуктовій команді та запевнив О'Лірі, що вони працюватимуть з Google Cloud над виправленням: «Ми попрацюємо з продуктовою командою, щоб вирішити цю проблему. Ми повідомимо вас, коли вона буде виправлена» . Google присвоїв багу пріоритет P1 (найвищий) і серйозність S1 (критична — впливає на великий відсоток користувачів і може порушити основні функції організації) .

Фаза 2 — «Робота в штатному режимі». 7 квітня — через 11 днів — О'Лірі отримав повідомлення від робота безпеки Google, яке скасовувало попереднє рішення . Панель програми винагород за вразливості в хмарі вирішила, що «безпековий вплив цієї проблеми не відповідає критеріям для отримання винагороди» і що програмне забезпечення «працює в штатному режимі» . Google відмовив у будь-якій виплаті.

Суперечність: Станом на 18 червня, коли The Register опублікував статтю, внутрішній баг-трекер Google все ще позначав ConfigConfusion як P1/S1 зі статусом «in progress (accepted)» — що суперечить публічній позиції про відсутність вразливості .

Незакрита справа

Станом на середину червня 2026 року — понад три місяці після першого звіту — вразливість залишається невиправленою . О'Лірі опублікував дослідницький блог-пост із повними технічними деталями на olearysec.com .

Зміни в VRP Google 2026 року — ширший контекст

На початку травня 2026 року Google суттєво оновив свої програми винагород за вразливості (VRP) для Chrome та Android, прямо посилаючись на зростання використання AI-інструментів для пошуку вразливостей .

Ключові зміни:

• Виплати за Chrome знизилися в більшості категорій. Google пояснив це тим, що AI-інструменти можуть легко генерувати великі обсяги низькоякісних звітів, тому програму переорієнтували на більш складні та впливові класи багів .
• Найвищі виплати за Android зросли — за zero-click повну компрометацію Titan M2 з можливістю закріплення в системі тепер платять до $1,5 млн .
• Кількість опублікованих CVE для Chrome зросла вчетверо порівняно з минулим роком (з 52 на початок травня 2025 року до 252 на початок травня 2026 року), що Google навів як доказ напливу AI-згенерованих звітів .

Критики зазначають іронію: Google скорочує виплати за Chrome через «AI-шум», але водночас відмовляє живому досліднику в винагороді за ретельно задокументований баг CVSS 10.0 у хмарній інфраструктурі, називаючи його «роботою в штатному режимі». Багато хто в безпековій спільноті назвали це рішення недалекоглядним і таким, що підриває довіру дослідників .