Una vulnerabilità critica di ownCloud è stata inserita da CISA nel catalogo delle falle già sfruttate attivamente: non è quindi un rischio teorico, ma un problema usato in attacchi reali per sottrarre dati. Per un’azienda questo significa una cosa semplice: se usate ownCloud per condividere file interni, documenti amministrativi o dati del personale, dovete verificare subito versione, configurazione e aggiornamenti.
Cosa è successo
Il 28 agosto 2026 The Hacker News ha riportato che la U.S. Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto al proprio catalogo KEV (Known Exploited Vulnerabilities) la vulnerabilità CVE-2023-49105, che colpisce ownCloud con gravità CVSS 9.8.
La falla era stata resa nota da ownCloud nel novembre 2023 e interessa le versioni “core” dalla 10.6.0 alla 10.13.0. La correzione è disponibile nella versione 10.13.1.
Secondo quanto emerso, un attore malevolo di lingua cinese avrebbe sfruttato la vulnerabilità per colpire due organizzazioni nelle Filippine, tra cui un ente di ricerca nucleare. Il caso ha attirato l’attenzione non solo per la sensibilità dei dati coinvolti, ma perché dimostra che la falla è concretamente utilizzabile in operazioni mirate di esfiltrazione.
Perché questa vulnerabilità è così pericolosa
CVE-2023-49105 è un problema di aggiramento dell’autenticazione nell’API WebDAV di ownCloud. In pratica, in determinate condizioni un attaccante può accedere ai file senza conoscere la password dell’utente.
Il punto più critico è questo: se l’attaccante conosce il nome utente della vittima e l’istanza ownCloud non ha una signing key configurata — situazione indicata nella fonte come configurazione predefinita — può costruire richieste WebDAV che il server accetta come valide.
Tradotto in linguaggio aziendale: non serve violare l’account con una password rubata, e non serve necessariamente “bucare” l’intero server. Può bastare conoscere un nome utente valido per ottenere accesso non autorizzato a file condivisi o archiviati sulla piattaforma.
Le conseguenze possibili, secondo la descrizione della vulnerabilità, sono chiare: un attaccante può accedere, modificare o cancellare file senza autenticazione effettiva.
L’attacco osservato nelle Filippine
La ricostruzione citata nell’articolo si basa su attività identificate da Hunt.io su un host esposto, 31.58.209[.]241, dove erano presenti script Python personalizzati, strumenti offensivi open source come Sliver, Metasploit e Mettle, e dati sottratti a due organizzazioni filippine.
Nel caso dell’ente di ricerca nucleare, gli script avrebbero preso di mira una istanza ownCloud usando URL pre-firmati generati con un signing secret vuoto, così da recuperare file tramite WebDAV senza autenticazione.
Secondo Hunt.io, cinque script Python personalizzati implementavano l’exploit per CVE-2023-49105. Quattro erano orientati a un singolo account ciascuno; un quinto includeva funzioni per enumerare le directory WebDAV e registrare i tentativi di download.
La stima riportata parla di 176 file scaricati, per un totale di circa 372 MB. Tra i materiali sottratti sarebbero presenti:
- registri relativi a materiali nucleari;
- bozze di piani strategici per il periodo 2023-2028;
- documentazione su componenti del nocciolo di un reattore di ricerca;
- inventari storici del combustibile;
- materiali di presentazione;
- dati personali dei dipendenti;
- un dump SQL da 192 MB di un database ZKTeco BioTime per presenze e personale;
- archivi di credenziali, comprese chiavi BitLocker, un database KeePass e file cifrati con AxCrypt.
Anche se il caso riguarda un’organizzazione ad alta sensibilità, la lezione per le PMI è universale: i cyber criminali non cercano solo il “grande bersaglio”, ma qualsiasi ambiente dove file, credenziali e informazioni operative siano facilmente estraibili.
Non riguarda solo ownCloud: il segnale più importante è un altro
L’elemento più rilevante non è soltanto la singola falla, ma il fatto che sia stata inserita nel catalogo KEV di CISA. Questo elenco non raccoglie vulnerabilità teoriche: include quelle per cui esistono prove di sfruttamento reale.
Quando una falla entra nel KEV, per le organizzazioni diventa un indicatore operativo molto forte. Significa che:
- esistono già attori che la stanno usando;
- i dettagli tecnici sono abbastanza maturi da consentire repliche o adattamenti;
- ritardare l’aggiornamento aumenta in modo concreto il rischio.
CISA ha indicato per le agenzie federali statunitensi la scadenza del 30 agosto 2026 per applicare le patch relative a questa vulnerabilità. Anche se la direttiva non riguarda direttamente le aziende italiane, il messaggio è inequivocabile: l’urgenza è immediata.
Cosa controllare subito se usi ownCloud
Se in azienda avete ownCloud installato internamente o presso un provider, i controlli prioritari sono pochi ma essenziali.
1. Verifica la versione
La falla interessa le versioni 10.6.0-10.13.0 del componente core. Se siete in questo intervallo e non avete già aggiornato, la priorità è portare l’istanza almeno alla 10.13.1 o a una release successiva approvata dal vostro fornitore.
2. Controlla la configurazione della signing key
La fonte segnala come critica la mancanza di una signing key configurata. È quindi importante non limitarsi all’aggiornamento, ma verificare anche che l’istanza non mantenga impostazioni insicure o predefinite.
3. Rivedi gli account e i nomi utente esposti
Poiché l’attacco può basarsi sulla conoscenza di username validi, conviene controllare:
- convenzioni di naming troppo prevedibili;
- account non più in uso;
- utenti di test o tecnici dimenticati;
- pubblicazione involontaria di nomi utente in pagine, log o integrazioni.
4. Analizza i log WebDAV
Se ownCloud è già in produzione da tempo, è prudente verificare accessi anomali, download massivi, enumerazioni di directory o richieste provenienti da indirizzi IP insoliti. In molti casi, il problema non è solo bloccare l’exploit oggi, ma capire se qualcuno l’ha già usato ieri.
5. Metti al sicuro i dati più sensibili
Chiavi, password vault, dump di database HR, dati del personale, documenti legali e amministrativi non dovrebbero trovarsi in repository accessibili senza segmentazione e controlli adeguati. Se la vostra piattaforma di file sharing contiene anche materiali ad alto impatto, è il momento giusto per rivedere permessi e classificazione dei dati.
Cosa significa per la tua azienda
Per una PMI italiana, questa notizia è un promemoria molto concreto: i sistemi di condivisione file sono diventati un bersaglio diretto. Non basta più considerarli “strumenti comodi per lavorare”; vanno gestiti come asset critici.
Ecco le azioni pratiche da mettere in agenda:
- Aggiorna subito ownCloud se presente in azienda o presso il tuo provider.
- Chiedi un controllo di sicurezza mirato su configurazioni, log e esposizione WebDAV, soprattutto se il servizio è raggiungibile da Internet. Se manca un presidio strutturato, ha senso prevedere una verifica nell’ambito dei servizi di sicurezza informatica.
- Verifica i backup: se un attaccante può cancellare o alterare file, il backup non è un accessorio ma l’ultima linea di difesa. Meglio se isolato e ripristinabile rapidamente, ad esempio con una soluzione di remote backup.
- Fai pulizia degli account: elimina utenze obsolete, riduci i privilegi, rinomina o disattiva account tecnici non più necessari.
- Raccogli evidenze per la compliance: se sui repository transitano dati personali di dipendenti, clienti o fornitori, un accesso non autorizzato può avere implicazioni anche in termini di protezione dati e notifica degli incidenti. In questi casi serve coordinarsi con chi segue il vostro percorso di adeguamento GDPR.
- Definisci una routine di patch management: molte aziende aggiornano i PC, ma trascurano i servizi applicativi interni. È proprio qui che spesso si aprono i varchi più seri.
Il punto centrale è semplice: se il file sharing è parte del lavoro quotidiano, va trattato come un sistema mission-critical, non come un archivio secondario.
Una lezione più ampia: i dati “laterali” valgono quanto quelli principali
Nel caso descritto, tra i file sottratti non compaiono solo documenti strategici, ma anche dati del personale, chiavi BitLocker, archivi di password e dump di database. Questo aspetto è molto istruttivo.
Spesso le aziende proteggono bene il gestionale o il server principale, ma lasciano nei sistemi collaterali informazioni che permettono agli attaccanti di fare un salto ulteriore: movimento laterale, accesso ad altri servizi, estorsione, phishing mirato o sabotaggio operativo.
Per questo motivo, dopo un incidente o una vulnerabilità critica, la domanda giusta non è solo “ci hanno rubato dei file?”, ma anche “quei file consentono di compromettere qualcos’altro?”.
Domande frequenti
ownCloud è vulnerabile in tutte le versioni?
No. La fonte indica come interessate le versioni core dalla 10.6.0 alla 10.13.0. La correzione è disponibile dalla 10.13.1.
Se non abbiamo notato problemi, possiamo aspettare?
No. La vulnerabilità risulta già sfruttata attivamente e per questo è stata inserita nel catalogo KEV di CISA. Rimandare aumenta il rischio.
Basta applicare la patch per essere tranquilli?
La patch è il primo passo, ma non l’unico. Conviene verificare anche configurazione, log, account esposti e integrità dei dati, per capire se ci siano già stati accessi anomali.