Rclone diventa una porta d’ingresso con cinque PoC pubblici
CSIRT-ITA avvisa che per Rclone circolano PoC pubblici per cinque CVE già corrette dal vendor, compresa CVE-2026-88018, una authentication bypass da CVSS 9,8. Per chi ha ancora istanze non patchate, il servizio può smettere di essere solo uno strumento di sync e diventare un punto d’ingresso remoto verso i file esposti.
Nel caso più grave, in modalità S3 e con `--auth-proxy` senza `--auth-key`, Rclone può accettare richieste firmate in modo da far passare un attaccante come se avesse superato il controllo di autenticazione. Le altre falle ampliano il raggio d’azione verso il DoS e, su altre funzioni, verso il bypass di restrizioni di sicurezza: non solo esposizione dei dati, ma anche indisponibilità del servizio.
Per gli ambienti che usano Rclone come endpoint verso client remoti, il punto non è la presenza della patch in sé, ma se l’istanza esposta è davvero aggiornata. Finché una versione vulnerabile resta online, la porta non protegge più né la riservatezza né la continuità del servizio.