Vulnerabilità Ollama e CVE-2026-103663: i rischi dell'AI locale
- Rilevata vulnerabilità critica (CVSS 9.4) in Ollama che permette l'esecuzione di codice remoto (RCE) tramite Path Traversal.
- Disponibile un Proof of Concept (PoC) che rende l'attacco immediatamente replicabile su versioni dalla 0.34.2 alla 0.35.0.
- Contemporanea emergenza di CVE in infrastrutture core: Node.js (10 vulnerabilità), MariaDB (criticità 9.9) e Acronis.
- Necessità urgente di aggiornamento per le imprese che utilizzano LLM in locale per evitare l'accesso non autenticato a sistemi privilegiati.
Un server acceso nel silenzio di un ufficio alle cinque del pomeriggio
L'ufficio è vuoto, ma in un angolo della sala server un'unità continua a ronzare. Gira un'istanza di Ollama, installata per permettere al team di sviluppo di testare un Large Language Model senza inviare dati sensibili verso cloud esterni. È la promessa dell'AI locale: privacy, controllo, indipendenza. Tuttavia, in questo silenzio, un utente remoto non autenticato potrebbe aver appena inviato una richiesta HTTP opportunamente predisposta. Senza che alcun allarme scatti, un codice estraneo viene scritto nel filesystem, bypassando le directory previste. Al prossimo riavvio del sistema, quel codice si attiverà con privilegi elevati. L'illusione della sicurezza del perimetro locale è appena svanita.
9.4
Non è un voto scolastico, ma lo score CVSSv4 assegnato alla CVE-2026-103663. In termini di cybersecurity, un punteggio di 9.4 indica una criticità estrema. L'Agenzia per la cybersicurezza nazionale (ACN) ha classificato l'impatto sistemico come Critico, con un valore numerico di 78.71.
L'analisi tecnica rivela che il problema risiede in un'assenza di validazione del digest durante il download dei modelli. Questo vuoto procedurale permette l'esecuzione di codice arbitrario (Remote Code Execution) su sistemi che utilizzano versioni di Ollama comprese tra la 0.34.2 e la 0.35.0 (esclusa). Per un imprenditore, questo significa che l'infrastruttura scelta per proteggere i dati aziendali è diventata, paradossalmente, la porta d'ingresso per un attaccante.
Come entra un codice estraneo in Ollama?
Il processo di infezione non richiede credenziali. L'attaccante sfrutta una falla nel modo in cui il software gestisce i file in entrata. Inviando richieste HTTP specifiche, è possibile forzare l'applicazione a scrivere file al di fuori delle cartelle designate. Una volta che l'attaccante riesce a collocare una libreria condivisa arbitraria in percorsi che l'applicazione carica automaticamente al riavvio, il controllo del sistema passa nelle mani dell'esterno.
Il rischio è amplificato dalla disponibilità di un Proof of Concept (PoC). Quando un PoC diventa pubblico, la vulnerabilità non è più solo teorica: esiste una guida pratica per sfruttarla. L'attacco non è più riservato a state-sponsored actors, ma diventa accessibile a chiunque sappia utilizzare gli strumenti di exploitazione disponibili in rete.
Il Path Traversal e l'arte di scrivere dove non si deve
Il Path Traversal è una tecnica di manipolazione dei percorsi dei file. Immaginate un sistema che vi chiede quale documento leggere in una cartella specifica; se il sistema non controlla l'input, potreste rispondere con sequenze di caratteri che 'risalgono' l'albero delle directory (come i classici dot-dot-slash), arrivando a leggere o scrivere in aree riservate del sistema operativo.
Nel caso di Ollama, questa falla permette di superare i confini della directory dei modelli. L'implicazione strategica è chiara: l'automazione del download di modelli AI, se non supportata da una rigorosa validazione dell'integrità (il digest), crea un vettore di attacco invisibile. L'analisi suggerisce che la velocità di rilascio delle funzionalità in ambito AI stia superando la velocità di implementazione dei controlli di sicurezza di base.
Perché l'open source locale è il nuovo bersaglio
L'adozione massiva di strumenti open source per l'inferenza locale ha spostato il centro di gravità del rischio. Le aziende, per timore del data leakage verso i provider cloud, stanno spostando i carichi di lavoro su server interni. Questo crea una superficie di attacco nuova e spesso meno monitorata rispetto ai cloud provider, che dispongono di team di sicurezza dedicati h24.
L'open source offre trasparenza, ma richiede una manutenzione attiva. Se un'impresa installa Ollama e lo dimentica in un angolo della rete, senza una politica di patching rigorosa, sta essenzialmente installando una backdoor. Il target non è più solo il dato, ma l'infrastruttura che processa il dato.
Quante porte restano aperte tra Acronis e Node.js?
La vulnerabilità di Ollama non è un evento isolato, ma si inserisce in un panorama di fragilità sistemiche rilevate in data 21 ottobre 2026. L'ACN ha segnalato criticità in diverse componenti fondamentali dell'ecosistema IT aziendale.
Node.js, il motore per l'esecuzione di Javascript, ha visto la risoluzione di 10 vulnerabilità, di cui 4 ad alta gravità (tra cui CVE-2026-111497 e CVE-2026-106069), che potrebbero permettere l'elusione dei meccanismi di sicurezza e l'esecuzione di codice remoto. Parallelamente, Acronis Cyber Infrastructure ha mostrato falle (CVE-2026-87095) che consentono la manipolazione di dati e l'accesso a informazioni sensibili.
Il quadro si complica guardando ai database e ai server web. MariaDB ha registrato vulnerabilità con score CVSS 9.9 (CVE-2026-92262 e CVE-2026-85746), legate a una gestione errata dei nomi delle tabelle e a errori di scrittura out-of-bounds. Anche Apache Tomcat ha presentato 3 vulnerabilità critiche che permettono l'Authentication Bypass.
Ecco una sintesi delle principali criticità rilevate nell'ultima finestra temporale:
| Software | CVE Principale | Gravità/Score | Impatto Principale |
|---|---|---|---|
| Ollama | CVE-2026-103663 | 9.4 (Critico) | Remote Code Execution (RCE) |
| MariaDB | CVE-2026-92262 | 9.9 (Critico) | Manipolazione dati / RCE |
| Node.js | Varie (4 Alte) | Alta | Security Bypass / RCE |
| Acronis | CVE-2026-87095 | Alta | Data Manipulation |
| Apache Tomcat | CVE-2026-103119 | Critica | Authentication Bypass |
L'anatomia di un aggiornamento d'emergenza
Quando l'ACN pubblica un alert, scatta una corsa contro il tempo. Il processo di mitigazione per Ollama è lineare ma urgente: aggiornare tempestivamente all'ultima release disponibile. Tuttavia, per l'imprenditore, l'aggiornamento non è un semplice click. Significa testare che la nuova versione non rompa le integrazioni esistenti, riavviare i servizi e verificare che i modelli caricati siano integri.
Il caso di Google Chrome, con 353 vulnerabilità corrette in un unico aggiornamento (di cui 6 critiche), dimostra che la sicurezza è un processo di erosione costante. Non esiste un sistema sicuro, esiste solo un sistema aggiornato. La strategia aziendale deve passare dalla 'sicurezza per design' alla 'resilienza per aggiornamento'.
L'effetto domino delle CVE tra l'AI Act e la resilienza delle infrastrutture critiche UE
L'analisi di queste vulnerabilità in un contesto europeo rivela una tensione strategica. L'AI Act impone requisiti di robustezza e sicurezza per i sistemi di intelligenza artificiale. Se le imprese europee adottano soluzioni open source come Ollama per conformarsi alla sovranità dei dati, ma non gestiscono il ciclo di vita della sicurezza, l'effetto sarà opposto: una fragilità sistemica che espone le infrastrutture critiche a sabotaggi o spionaggio.
La direttiva NIS2 impone obblighi di gestione del rischio e di notifica degli incidenti. Una falla come quella di Ollama, se sfruttata in un'azienda che fornisce servizi essenziali, non è più solo un problema tecnico, ma una violazione di compliance normativa con potenziali sanzioni pesanti.
Per le imprese italiane, il rischio è l'adozione di 'isole di AI' non governate. L'implementazione di LLM locali senza un framework di cybersecurity aggiornato trasforma l'asset strategico in un rischio operativo. La resilienza dell'UE dipenderà dalla capacità di integrare l'innovazione AI con una cultura del patching che non sia reattiva, ma proattiva.
Scenario futuro 1: Integrazione di sistemi di validazione automatica dei digest per ogni modello AI scaricato. Indicatore verificabile: Introduzione di standard di firma digitale obbligatori nei repository di modelli (es. Hugging Face) entro il 2027.
Scenario futuro 2: Spostamento verso architetture 'zero trust' anche per l'inferenza locale, dove l'AI gira in sandbox isolate dal resto della rete aziendale. Indicatore verificabile: Aumento dell'adozione di micro-VM per l'esecuzione di LLM nei report di mercato IT 2026-2027.
Domande frequenti
Quali versioni di Ollama sono a rischio per la CVE-2026-103663?
Sono interessate le versioni dalla 0.34.2 alla 0.35.0 (esclusa).
Cosa significa che è disponibile un PoC?
Significa che esiste un Proof of Concept, ovvero una dimostrazione pratica di come sfruttare la vulnerabilità, rendendo l'attacco più semplice da eseguire per i malintenzionati.
Oltre a Ollama, quali altri software hanno presentato criticità gravi recentemente?
Sono state rilevate vulnerabilità critiche in MariaDB (score 9.9), Node.js, Acronis Cyber Infrastructure, Apache Tomcat e Google Chrome.
Come posso proteggere la mia infrastruttura AI locale?
La misura principale è l'aggiornamento immediato all'ultima versione rilasciata dal vendor e l'implementazione di controlli di accesso rigorosi per evitare che l'istanza di Ollama sia esposta a utenti non autenticati.
Fonti: Acn (7) ·
glacom · Intelligenza artificiale per aziende: i modelli girano sui tuoi server, i dati non escono →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
