Open WebUI, una delle interfacce LLM self-hosted più ampiamente distribuite, ha pubblicato v0.11.2 il 31 agosto alle 05:48:23 UTC. Le note riportano una dichiarazione di policy esplicita: gli avvisi di sicurezza per la release possono essere trattenuti per un breve periodo per dare agli amministratori il tempo di aggiornare.
La policy, detta senza giri di parole
La divulgazione ritardata è una pratica reale e legittima. Dare un vantaggio ai difensori; pubblicare i dettagli una volta che la patch si è propagata. Open WebUI merita credito per aver messo la policy per iscritto invece di farlo in silenzio, che è il comportamento più comune. Ma va detto anche il compromesso, perché non è simmetrico nel modo in cui la formulazione lo lascia intendere.
A chi aiuta davvero il ritardo
La finestra non nasconde la correzione. Si tratta di un progetto open source: i commit sono pubblici nel momento stesso in cui esce la release. Chiunque sia motivato può confrontare due tag e individuare in pochi minuti il percorso di codice corretto — è il passaggio standard dalla patch a un exploit funzionante, e non viene alterato dal fatto che sia stato emesso o meno un avviso. Ciò che il ritardo nasconde è la gravità e la categoria del problema, e le nasconde all’amministratore che deve decidere se applicare l’aggiornamento stanotte o alla fine dello sprint. L’aggressore legge il diff. Il difensore legge "al più presto possibile".
Il precedente
La release precedente, v0.11.1, è stata distribuita il 25 agosto alle 21:17:57 UTC. I relativi avvisi di sicurezza sono stati pubblicati circa cinque giorni dopo, il 30 agosto. Quindi il divario non è ipotetico, e v0.11.2 si trova ora nella stessa situazione del suo predecessore — con contenuti di sicurezza non divulgati mentre agli operatori viene chiesto di fidarsi dell’istruzione più che del dettaglio.
Cosa sbaglia la lettura più comune
I riepiloghi del changelog classificano queste release come manutenzione, perché è così che appaiono: un elenco di correzioni di bug nello stesso registro degli aggiustamenti dell’interfaccia. Chi legge cercando "sicurezza" non trova nulla da considerare prioritario. L’informazione sulla gravità esiste, il progetto ce l’ha, e l’intervallo in cui viene trattenuta è esattamente l’intervallo in cui si prende la decisione sull’aggiornamento.
La lettura pratica
Per un’installazione self-hosted esposta a più di un utente, considerate per impostazione predefinita come rilevante per la sicurezza qualsiasi release di Open WebUI che riporti questo avviso, e pianificatela di conseguenza. L’assenza di un avviso pubblicato non è una prova che non ci sia nulla da correggere — le note lo dicono chiaramente.