Em 12 de outubro de 2026, a lista de discussão oss-sec publicou um relato de vulnerabilidade no componente kubernetes/cloud-provider-gcp, que integra clusters Kubernetes a provedores de nuvem. Segundo o relato, a falha é de vazamento de credenciais. O autor afirma que o problema permanece no branch master do projeto.
Os fatos informados no relato são estes. A falha foi reportada ao programa de recompensas por vulnerabilidades do Google Cloud em 14 de junho de 2026. Em 6 de outubro de 2026, venceu o prazo de 90 dias de divulgação comunicado ao fornecedor, sem resposta substantiva; houve apenas confirmações automáticas de recebimento e uma reclassificação de prioridade para P2. Em 11 de outubro de 2026, o autor disse ter confirmado de forma independente que o problema continua presente no master. Foi solicitada uma identificação CVE. O texto disponível é uma tradução automática de conteúdo publicado originalmente na lista, e não traz detalhes de exploração.
A relevância para organizações que operam clusters Kubernetes em nuvem é monitorar o status do componente, a eventual publicação de correção e a atribuição de CVE. Enquanto não houver correção, vale revisar onde essas credenciais são usadas e considerar rotação, caso exista suspeita de exposição. A Rota Nacional não opera esse componente, não corrige código de terceiros e não resolve a falha descrita.
Para verificar a informação, consulte o arquivo original da oss-sec, indicado no próprio item da fonte, e compare com o repositório upstream do projeto e com as bases públicas de CVE quando houver identificador atribuído. Confira também o texto original em inglês, já que a versão consultada é tradução automática.