Il 26 ottobre 2026 il CSIRT Italia, il servizio dell’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL02/261026/CSIRT-ITA su dieci vulnerabilità di Rclone, un software open source usato per sincronizzare e trasferire file verso servizi di archiviazione remota e cloud. Secondo l’alert, sono stati resi pubblici dei Proof of Concept (PoC, cioè dimostrazioni di come sfruttare una falla) per tutte e dieci. Il vendor ha già corretto i difetti. L’impatto sistemico è indicato come critico, con un punteggio di 77,82.
Chi è coinvolto
L’alert indica come prodotto interessato:
- rclone, versione 1.75.1 e precedenti.
Le falle riguardano diverse parti del programma: il backend locale, i backend B2 e pCloud, la funzionalità WebDAV (un protocollo per accedere ai file via web), la funzione S3, l’opzione –rc-serve e l’aggiornamento automatico.
Che rischio c’è
I punteggi CVSS v4.0, la scala che misura la gravità di una vulnerabilità, vanno da 6.0 a 8.7. Secondo l’alert, le più gravi sono due.
- CVE-2026-116191 (CVSS 8.7): nella funzionalità WebDAV, un attaccante non autenticato potrebbe creare, sovrascrivere, spostare o eliminare file e directory fuori dal percorso configurato. Potrebbe così alterare dati di altri utenti o tenant, cioè di altri clienti che condividono lo stesso sistema.
- CVE-2026-116192 (CVSS 8.2): con –rc-serve, un attaccante non autenticato potrebbe far effettuare al sistema richieste verso host che controlla (la tecnica si chiama SSRF) e ottenere informazioni riservate, header configurati o firme valide.
Altre falle, con punteggi tra 7.0 e 7.7, permetterebbero di:
- installare una versione modificata di Rclone, se l’attaccante controlla il canale degli aggiornamenti, ottenendo l’esecuzione di codice con i privilegi dell’utente che aggiorna (CVE-2026-116189, CVSS 7.7);
- reindirizzare i trasferimenti verso infrastrutture dell’attaccante, durante la configurazione di pCloud (CVE-2026-116194, CVSS 7.6);
- modificare proprietario, date e metadati di directory esterne alla destinazione, tramite un percorso manipolato nel backend locale (CVE-2026-116195, CVSS 7.0).
Le restanti cinque, con punteggi tra 6.0 e 6.9, riguardano la sottrazione di token e credenziali durante i redirect HTTP (CVE-2026-116196 e CVE-2026-116190), la verifica dell’esistenza di file su WebDAV (CVE-2026-116193), un consumo eccessivo di memoria nelle operazioni S3 (CVE-2026-116188) e l’interferenza con upload di altri tenant (CVE-2026-116187). Nella tabella dell’alert, per nessuna delle dieci è indicato uno sfruttamento in corso: risulta solo la presenza dei PoC.
Cosa fare
L’alert raccomanda, ove non sia già stato fatto, di aggiornare tempestivamente Rclone all’ultima versione disponibile.
Può essere utile verificare quali sistemi dell’organizzazione usano Rclone, anche in script di backup o sincronizzazione, e informare il fornitore IT se la gestione è affidata a terzi. Conviene anche controllare che gli aggiornamenti siano applicati in modo regolare.
Fonte: alert AL02/261026/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 26 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
