Elastic ha pubblicato l'advisory ESA-2026-114 il 1 settembre. CVE-2026-72649 ha un punteggio base CVSS 3.1 di 8.8, vettore AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H, ed è una deserializzazione di dati non attendibili, CWE-502, che porta all'esecuzione di codice remoto tramite iniezione di oggetti. Il veicolo dell'exploit è l'artefatto stesso del modello di machine learning addestrato.
L'impatto riguarda tutte le linee supportate
Le versioni interessate sono dalla 8.0.0 alla 8.19.19 e dalla 9.0.0 alla 9.4.4, più la 9.5.0 — in pratica ogni release 8.x e 9.x precedente alla correzione. Le release corrette esistono e sono indicate: 8.19.20, 9.4.5 e 9.5.1. Vale la pena dirlo chiaramente, perché dei undici record CVE legati all'AI pubblicati nelle stesse 24 ore, quello di Elastic è l'unico che dice a un operatore quale versione è sicura.
Cosa non torna nel framing comune
Il riflesso, vedendo PR:L, è pensare: “autenticato, quindi rischio basso”. Qui, però, è una lettura sbagliata per un motivo preciso. Il privilegio richiesto è la possibilità di distribuire un modello addestrato — e nella maggior parte delle installazioni Elastic questa autorizzazione è delegata al team di data science invece che agli amministratori del cluster, proprio perché importare un modello da un hub pubblico è trattato come un'operazione sui contenuti e non come un'operazione sul codice. L'organigramma presume che i file del modello siano dati. Questo advisory dice che sono eseguibili.
La soluzione temporanea non è economica
Il secondo errore di lettura è considerare la mitigazione come un palliativo. La workarounds documentata da Elastic consiste nell'impostare xpack.ml.enabled: false a livello di cluster e riavviare, oppure nel smettere di importare modelli addestrati di terze parti. Disattivare il machine learning sull'intero cluster spegne ELSER, semantic search e anomaly detection — per una larga parte dei cluster, questo è il prodotto.
Uno di circa diciannove, e l'unico a 8.8
Elastic ha rilasciato tutto questo all'interno di un pacchetto di circa 19 CVE tra Elasticsearch e Kibana nello stesso giorno; il resto va da 4.2 a 8.3. Una seconda voce legata all'AI, CVE-2026-78607 con punteggio 5.4, riguarda una mancata autorizzazione nel servizio di inference personalizzato di Elasticsearch. L'8.8 è quella che conta, ed è facile perderla in un rilascio collettivo.
La supply chain arriva nell'infrastruttura mainstream
Il flusso di lavoro documentato da Elastic incoraggia a prelevare modelli di terze parti da Hugging Face. La mitigazione alternativa indicata dall'advisory è smettere di farlo.