Gli amministratori di Grafana Mimir e Grafana Enterprise Metrics devono verificare le versioni installate dopo l’allerta del CSIRT del 3 novembre sulla vulnerabilità CVE-2026-81938. Il difetto, classificato con gravità alta, può consentire la lettura di file presenti sul sistema. Richiede però un attaccante autenticato con il permesso di modificare la configurazione Alertmanager del proprio tenant.
La condizione di accesso delimita il problema. Non è descritto come un ingresso anonimo in qualsiasi pannello Grafana raggiungibile online, né riguarda automaticamente tutti i prodotti del marchio. L’oggetto dell’avviso sono Mimir e GEM, impiegati per raccogliere e gestire metriche di monitoraggio in infrastrutture che possono servire più gruppi o clienti distinti.
Il CSIRT richiama il possibile accesso a credenziali e configurazioni conservate nei file leggibili. La conseguenza concreta dipende quindi da ciò che è presente nell’ambiente interessato. L’allerta non afferma che ogni installazione contenga le medesime informazioni, ma chiarisce perché un difetto di lettura possa avere rilievo anche senza una modifica diretta ai dati.
Le versioni corrette indicate dalla documentazione sono Mimir 3.1.7 e 3.2.2, per i rispettivi rami, e GEM 2.17.20. Per Mimir il richiamo italiano comprende le versioni dalla 3.0.4 fino alla 3.1.7 esclusa e le 3.2.x precedenti alla 3.2.2.
La revisione finale fa parte del requisito: sapere soltanto che è installata Mimir 3 non basta.
Per GEM la situazione comprende le versioni dalla 2.11.0 alla 2.16.2 e il ramo 2.17 precedente alla 2.17.20. La scheda tecnica precisa che i rami GEM dalla 2.11 alla 2.16 non riceveranno una correzione dedicata.
Gli utenti di quelle versioni devono quindi pianificare il passaggio alla 2.17.20 o a una successiva appropriata.
Quest’ultimo dettaglio distingue un aggiornamento ordinario da una migrazione di ramo. Un controllo che cerchi soltanto una nuova revisione della vecchia serie potrebbe non portare alla soluzione. Per una piattaforma di monitoraggio aziendale, verificare prima quale ramo è supportato aiuta a individuare il pacchetto corretto e il percorso indicato dal produttore.
La possibilità di cambiare la configurazione Alertmanager merita una verifica specifica nell’assegnazione dei permessi. La presenza di un account abilitato alla consultazione delle metriche non prova che quell’account disponga anche della facoltà richiesta per sfruttare il difetto. Allo stesso modo, una restrizione dei permessi non dimostra che il software sia stato aggiornato.
Il lavoro operativo consiste pertanto in due confronti distinti: versione installata rispetto alla patch e autorizzazioni effettive rispetto al requisito descritto nell’advisory. Sono controlli che rispondono a domande differenti. Il primo identifica il codice vulnerabile; il secondo aiuta a comprendere quali soggetti potrebbero raggiungere il percorso esposto nella configurazione esistente.
Per gli utenti italiani di servizi gestiti, la conferma va chiesta al fornitore dell’istanza, precisando se usa Mimir o GEM. L’avviso non documenta un attacco generalizzato alle piattaforme italiane di monitoraggio. Indica invece una vulnerabilità circoscritta, una condizione di sfruttamento riconoscibile e versioni correttive con cui confrontare ogni ambiente realmente in uso.