La faille critique Ollama Bleeding Llama — référencée CVE-2026-7482, score CVSS 9.1 — vient d’être divulguée publiquement. Elle frappe le runtime IA le plus déployé dans les laboratoires d’innovation des PME-ETI françaises : un simple fichier GGUF malveillant envoyé à un serveur Ollama exposé permet de lire la mémoire du processus, et donc de récupérer clés d’API, variables d’environnement, prompts système et conversations d’autres utilisateurs. Pour les équipes qui ont déployé Ollama « pour tester localement » sans authentification ni cloisonnement, la fenêtre d’exploitation se compte en heures. Voici comment comprendre la faille, identifier vos instances exposées et neutraliser le risque avant qu’il ne se traduise par une fuite de secrets ou une compromission de pipeline IA.
Ollama Bleeding Llama : ce que dit la CVE-2026-7482
La vulnérabilité, baptisée « Bleeding Llama » par les chercheurs qui l’ont divulguée et reprise par The Hacker News, vise le chargeur de modèles GGUF d’Ollama. Concrètement, un attaquant fabrique un fichier .gguf dont les en-têtes déclarent une taille de tenseur ou un offset supérieurs à la taille réelle du fichier. Lors de l’opération de quantization — gérée par les fonctions WriteTo dans fs/ggml/gguf.go et server/quantization.go — le serveur lit au-delà de la zone mémoire allouée. C’est un classique heap out-of-bounds read aggravé par l’usage d’opérations Go non sûres qui contournent les garanties mémoire du langage.
L’enchaînement d’exploitation tient en trois étapes : 1) téléverser le GGUF piégé via POST HTTP sur l’API d’Ollama ; 2) déclencher la création du modèle via l’endpoint /api/create pour activer la lecture hors limites ; 3) exfiltrer le contenu mémoire via /api/push en redirigeant le modèle vers un registre contrôlé par l’attaquant. À chaque appel, des fragments du tas du processus partent dans la requête — et l’attaquant peut répéter l’opération autant que nécessaire pour reconstituer ce qu’il cherche.
Pourquoi c’est critique pour les PME-ETI
Ollama est aujourd’hui le runtime IA local le plus répandu dans les équipes innovation, R&D et data des PME-ETI : il sert à expérimenter Llama, Mistral, DeepSeek ou Qwen sans envoyer les données chez un fournisseur cloud. C’est précisément ce profil « tool local et discret » qui crée l’angle mort. Trois scénarios concrets que nous voyons régulièrement chez nos clients :
- Serveur Ollama exposé sur le LAN sans authentification : la stack par défaut écoute sur
0.0.0.0:11434sans aucun contrôle d’accès. N’importe quel poste compromis sur le réseau interne (phishing, BYOD, sous-traitant) peut envoyer un GGUF piégé. - Instance auto-hébergée sur un VPS public : sans pare-feu ou reverse proxy authentifié, le port 11434 reste joignable depuis Internet. Les scans de masse sur ce port sont déjà documentés depuis fin 2025.
- Pipeline RAG ou agent IA qui partage le processus : si plusieurs utilisateurs ou plusieurs jobs utilisent la même instance Ollama (cas typique d’un POC interne ou d’un assistant interne déployé en self-hosted), la mémoire du processus contient les prompts et réponses de tout le monde. Une seule exploitation suffit à exfiltrer du contenu confidentiel inter-utilisateurs.
Pire : les données qui transitent par Ollama sont par construction des données « stratégiques » — sinon le modèle ne serait pas hébergé localement. On parle donc de fuites potentielles touchant des secrets industriels, des données clients sensibles, des accès AD ou cloud injectés dans des prompts d’automatisation.
Détecter une exposition ou une exploitation Ollama Bleeding Llama
Avant le patch, plusieurs signaux permettent d’évaluer votre exposition et d’identifier une exploitation tentée :
- Inventorier toutes les instances Ollama :
ss -tlnp | grep 11434sur chaque serveur Linux,Get-NetTCPConnection -LocalPort 11434sur les postes Windows. Un scan Nmap interne (nmap -p 11434 --open 10.0.0.0/8) est souvent plus rapide. - Vérifier la version installée :
ollama --version. Toute version inférieure à 0.17.1 est vulnérable. Sous Windows, les versions 0.12.10 à 0.22.0 portent en plus deux failles RCE liées (CVE-2026-42248 et CVE-2026-42249). - Surveiller les logs Ollama (
journalctl -u ollamaou/var/log/ollama/*) pour repérer des appelsPOST /api/createouPOST /api/pushprovenant de clients inattendus, surtout en rafale et avec des modèles aux noms aléatoires. - Côté Wazuh ou SIEM, ajouter une règle de corrélation sur tout serveur Ollama : alerte dès qu’un client non whitelisté frappe l’API, ou dès qu’un
pushsort vers une IP non listée. Si votre EDR voit le processusollamainitier une connexion sortante vers un registre tiers, c’est probablement l’étape 3 de l’exploit. - Auditer le filesystem pour les fichiers GGUF récents (
find / -name '*.gguf' -mtime -7) et vérifier leur provenance : un GGUF importé depuis Hugging Face sans validation de hash est suspect par défaut, dans la lignée des campagnes d’infostealers ML que nous avons documentées récemment.
Plan d’action en 6 étapes pour neutraliser la faille
- Patcher immédiatement : passer chaque instance Ollama en
0.17.1minimum. Sous Linux :curl -fsSL https://ollama.com/install.sh | shrécupère la dernière version stable. Sous Windows, désinstaller et réinstaller depuis le site officiel (les flux de mise à jour automatique sont eux-mêmes affectés par CVE-2026-42248/42249). - Cloisonner le service : forcer le bind sur
127.0.0.1:11434via la variableOLLAMA_HOST=127.0.0.1. Sur les serveurs partagés, exposer ensuite l’API uniquement à travers un reverse proxy (Caddy, Traefik, Nginx) doté d’une authentification forte (mTLS, OIDC ou clé API gérée par un secret manager). - Filtrer les sources de modèles : interdire le téléchargement de GGUF arbitraires. Mettre en place une whitelist des modèles autorisés et un proxy interne qui sert uniquement des fichiers signés et vérifiés (somme SHA-256 contrôlée).
- Bloquer les sorties non maîtrisées : règles pare-feu sortantes restreignant le processus
ollamaaux seuls registres officiels ou internes. Cela coupe net l’étape 3 (exfiltration via/api/push) même en cas d’exploit réussi. - Faire tourner Ollama dans un conteneur ou un namespace dédié :
systemdavecDynamicUser=yes,PrivateTmp=yesetNoNewPrivileges=yes, ou un container Docker en read-only avec un user non root. Limite drastiquement ce qu’une exploitation mémoire peut atteindre. - Tourner les secrets exposés : si une instance vulnérable a été joignable depuis un réseau partagé pendant plus de 48h, considérer comme compromis tous les secrets injectés en variables d’environnement ou en prompts système — clés API, tokens, identifiants. Faire la rotation immédiatement, sans attendre la preuve d’une exploitation.
Aller plus loin sur la sécurité des stacks IA locales
La neutralisation de Ollama Bleeding Llama ne se limite pas à un apt upgrade : elle s’inscrit dans une posture globale de sécurité des composants IA déployés dans le SI. Deux articles complémentaires du lab ucyber.ai éclairent les angles voisins :
- PyTorch Lightning piégé : détecter et nettoyer une compromission supply chain IA — autre vecteur d’attaque sur la chaîne ML, méthode de détection transposable.
- Gouvernance agents IA : le nouveau périmètre des PME-ETI — comment intégrer ces runtimes locaux dans votre cartographie de risque et votre politique d’accès.
Conclusion : refermer l’angle mort « IA locale »
Avec un score CVSS de 9.1, un patch déjà disponible et un chemin d’exploitation trivial, Ollama Bleeding Llama est exactement le type de faille qui se propage en quelques jours via les scanners de masse et les opérateurs de ransomware opportunistes. Pour une PME-ETI, le bon réflexe n’est pas seulement de mettre à jour : c’est de profiter de cette divulgation pour cartographier l’ensemble des runtimes IA déployés sous le radar, leur appliquer le même niveau d’authentification et de cloisonnement que les autres services internes, et tourner les secrets qui leur ont été confiés. La meilleure défense reste de considérer chaque API IA exposée comme un service de production à part entière — avec les contrôles qui vont avec.