CISA、MLflowの重大な脆弱性 CVE-2026-64849のサイバー攻撃 悪用を確認　CVSS 9.3、クラウド認証情報流出の恐れ

米Cybersecurity and Infrastructure Security Agency（CISA）は2026年8月19日、オープンソースのAI・機械学習基盤「MLflow」に存在する脆弱性 CVE-2026-64849をKnown Exploited Vulnerabilities（KEV）Catalogへ追加しました。

CVE-2026-64849は、MLflowのWebhook配信処理に存在するSSRF（Server-Side Request Forgery）脆弱性です。GitHubがCNAとして付与したCVSS v3.1の基本値は9.3（Critical）で、ネットワーク経由かつ認証なしで悪用できる条件と評価されています。

悪用された場合、MLflowサーバーを経由して、本来は外部から直接アクセスできない内部サービスやクラウドのメタデータサービスへアクセスされ、認証情報などを取得される可能性があります。

CISAは実際の攻撃での悪用を確認しており、NVDに反映された最新のCISA SSVC評価でも「exploitation: active」「automatable: yes」とされています。MLflow 3.15.0未満が影響を受け、3.15.0で修正されています。

CVE-2026-64849のサマリー

• 【確認済み】CISAは2026年8月19日、CVE-2026-64849をKEV Catalogへ追加しました。
• 【確認済み】NVDに反映された最新のCISA SSVC評価では、悪用状況は「active」です。
• 【確認済み】CISAのSSVCでは攻撃の自動化可能性も「yes」と評価されています。
• 【確認済み】CVE-2026-64849はMLflowのWebhook配信処理に存在するSSRF脆弱性です。
• 【確認済み】GitHub CNAによるCVSS v3.1の基本値は9.3（Critical）です。NVD自身のCVSS評価は8月21日時点で未付与です。
• 【確認済み】ネットワーク経由で悪用可能で、事前の認証権限やユーザー操作を必要としない条件と評価されています。
• 【確認済み】NVD、JVN iPediaではMLflow 3.15.0未満が影響対象とされ、3.15.0で修正されています。
• 【確認済み】MLflow 3.15.0のリリースノートにも、Webhook配信のDNSリバインディングを利用したSSRF回避を修正した旨が記載されています。
• 【確認済み】2026年8月21日時点ではMLflow 3.15.1も公開されています。
• 【確認済み】MLflow公式Security AdvisoryにはPoC相当の技術的な再現情報が公開されています。
• 【確認済み】CISA KEVの対応期限は2026年9月2日です。
• 【確認できず】CISAは攻撃者、被害組織、攻撃件数、具体的なIOCを公表していません。

項目	内容
CVE	CVE-2026-64849
対象	MLflow
脆弱性	Server-Side Request Forgery（SSRF）
CWE	CWE-918
CVSS	9.3 Critical（GitHub CNA、CVSS v3.1）
攻撃経路	Network
必要権限	不要
ユーザー操作	不要
主な影響	内部サービスやクラウドメタデータへのアクセス、認証情報・内部情報取得の可能性
影響バージョン	3.15.0未満
修正版	3.15.0以降
最新リリース	3.15.1（2026年8月21日時点）
実攻撃での悪用	確認済み
CISA KEV	2026年8月19日追加
CISA対応期限	2026年9月2日
PoC	MLflow公式Security Advisoryに再現情報あり
IOC	CISA、MLflowから具体的なIOCは確認できませんでした

CVE-2026-64849とは　WebhookのSSRF対策を回避できる脆弱性

CVE-2026-64849は、MLflow Tracking ServerのWebhook配信処理に存在するSSRF脆弱性です。

MLflowには、Webhookの送信先として内部ネットワークやクラウドのメタデータサービスなどが指定されないよう、URLを検証するSSRF対策が実装されていました。

しかし、MLflow公式Security Advisoryによると、検証された最初の送信先からHTTPリダイレクトが発生した場合や、通信時にDNSの名前解決結果が変化した場合、実際の接続先を十分に検証できない問題がありました。

その結果、最初の検証を通過した後に、MLflowサーバーから内部ネットワークやクラウドのメタデータサービスへ通信させることが可能になります。

さらに、影響を受けるWebhookテスト機能では接続先からの応答内容が呼び出し元へ返されるため、単に内部へ通信させるだけではなく、内部サービスから取得した情報を攻撃者が読み取れる可能性があります。

本記事では、悪用につながる具体的なリクエスト、コマンド、再現手順は記載しません。

デフォルト構成では認証なしで悪用される可能性

MLflow公式Security Advisoryは、デフォルトのMLflow Tracking Serverについて、対象となるWebhook機能へ認証なしでアクセスできる構成があると説明しています。

CVSSベクトルでも、攻撃元区分はNetwork、攻撃に必要な特権はNone、利用者の関与はNoneと評価されています。

そのため、インターネットから到達可能なMLflow Tracking Serverを運用している場合は、特に優先度を上げて確認する必要があります。

本番環境だけでなく、AI・機械学習の検証環境、研究開発環境、クラウドVM、DockerやKubernetes上で一時的に構築したMLflowも対象に含めるべきです。

AI基盤は開発部門やデータサイエンス部門が独自に構築するケースもあり、情報システム部門の一般的な資産台帳から漏れている可能性があります。

クラウド認証情報や内部サービスの情報取得につながる恐れ

この脆弱性で重要なのは、MLflowサーバー自身が持つネットワーク上のアクセス権を攻撃に利用される点です。

MLflow公式Security Advisoryでは、影響例としてクラウドのインスタンスメタデータ、内部限定の管理サービス、内部ホストへのアクセスなどが挙げられています。

クラウド環境では、インスタンスメタデータサービスから一時的なIAM認証情報などを取得できる構成があります。

そのため、SSRFの悪用に成功した場合、MLflowサーバーへのアクセスだけで終わらず、取得されたクラウド認証情報を利用してストレージや周辺サービスへアクセスされる二次侵害につながる可能性があります。

ただし、CISAは今回確認された実攻撃について、どの組織でどの情報が取得されたのか、具体的な被害内容までは公表していません。

BleepingComputerはセキュリティ企業による観測として、クラウド認証情報やシークレットを取得する活動が確認されたと報じていますが、この部分はCISAが公表した個別被害の内容ではありません。

CISAがKEVへ追加　悪用状況は「active」

CISAは2026年8月19日、CVE-2026-64849をKEV Catalogへ追加しました。

NVDに反映されたKEV情報では、追加日は8月19日、対応期限は9月2日です。Required Actionとして、ベンダーの指示に従った緩和・修正を行い、CISAのBOD 26-04に基づく対応を実施するよう求めています。

また、NVDに記録された最新のCISA SSVC評価では、悪用状況は「active」、自動化可能性は「yes」、技術的影響は「partial」とされています。

CISAがKEVへ追加したことは、単に脆弱性が理論上悪用可能という意味ではありません。実際の攻撃で悪用されたことを示す重要な優先度判断材料です。

一方、CISAは攻撃者の名称、脅威アクターへの帰属、被害組織、攻撃件数、具体的なIOCを公表していません。

したがって、現時点で特定の国家や攻撃グループによる活動と断定することはできません。

MLflow 3.15.0で修正　3.15.1も公開済み

NVDとJVN iPediaは、MLflow 3.15.0未満を影響対象とし、3.15.0で修正されたとしています。

MLflow 3.15.0は2026年7月31日に公開されました。公式リリースノートのBug fixesには「Fix DNS-rebinding SSRF bypass in webhook delivery」と記載され、修正PR #24258が含まれています。

修正では、実際に接続した通信先IPアドレスを接続時に検証する仕組みが追加され、リダイレクト先やDNS再解決によってSSRF防御を回避できないよう変更されています。

8月3日にはMLflow 3.15.1も公開されています。3.15.1は別のバグ修正を含むパッチリリースですが、3.15.0のSSRF修正も含んでいるため、運用環境では互換性を確認したうえで3.15.0以降へ更新する必要があります。

GitHub Security Advisoryの影響バージョン表示には差異

今回の脆弱性では、一次情報の表示に一部差異があります。

MLflowのGitHub Security Advisory上部では、Affected versionsが「<= 3.13.0」、Patched versionsが「no」と表示されています。

一方、同じSecurity Advisory本文ではPR #24258で修正されたと明記されています。

さらに、NVDは「Prior to 3.15.0」と説明し、3.15.0で修正されたとしています。JVN iPediaも影響バージョンを3.15.0未満とし、MLflow 3.15.0の公式リリースノートにも修正PRが含まれています。

このため、実務上はSecurity Advisory上部のメタデータだけを見て「3.14.0は影響しない」「修正版が存在しない」と判断すべきではありません。

3.15.0未満を影響対象として扱い、3.15.0以降へ更新するのが適切です。

PoC相当の技術情報は公開済み

MLflow公式Security Advisoryには、脆弱性を再現するためのPoC相当の技術情報が公開されています。

NVDも同Security Advisoryや関連Issueを「Exploit」として参照しています。

攻撃者が脆弱性の仕組みを把握しやすい状態であり、CISAも自動化可能性を「yes」と評価していることから、インターネット上で公開された未修正環境は特に注意が必要です。

管理者は、CISAによる実悪用確認とPoC公開の両方を踏まえ、通常の月次更新サイクルを待たずに優先度を上げて対応する必要があります。

ゼロデイとして悪用されたかは確認できず

CVE-2026-64849について、実攻撃での悪用は確認されていますが、「ゼロデイ」と断定できる一次情報は確認できませんでした。

修正を含むMLflow 3.15.0は7月31日に公開され、GitHub Security Advisoryは8月2日に公開されています。CVEの公表は8月17日、CISAのKEV追加は8月19日です。

CISAは実際の悪用開始日を公表していません。

したがって、修正版が公開される前から攻撃者が悪用していたかは現時点で判断できず、「実際の攻撃で悪用が確認された重大脆弱性」と表現するのが適切です。

情報システム部門・AI基盤管理者への示唆

情報システム部門やAI・データ基盤の管理者は、まず自組織でMLflow Tracking Serverを運用しているかを確認する必要があります。

特に注意すべきなのは、データサイエンス部門や開発部門が個別に構築した環境です。クラウドVM、コンテナ、Kubernetes、研究開発環境、AI PoC環境などを含めて棚卸しする必要があります。

MLflow 3.15.0未満を利用している場合は、3.15.0以降へ速やかに更新してください。

同時に、MLflow Tracking Serverがインターネットから直接到達可能になっていないか、認証なしでアクセスできる状態になっていないかを確認することが重要です。

すでに脆弱なMLflowをインターネット公開していた場合は、パッチ適用だけで対応を終了せず、侵害有無の調査も必要です。

MLflowのアクセスログ、Webhook関連操作、クラウド監査ログ、IAM認証情報の利用履歴、通常とは異なる内部サービスへの通信などを確認し、認証情報が取得された可能性を否定できない場合には、クラウド認証情報やAPIキー、シークレットのローテーションを検討する必要があります。

また、MLflowサーバーへ付与するクラウドIAM権限を最小化し、メタデータサービスへのアクセス制御やOutbound通信制御も確認してください。

今回の脆弱性は、AI基盤が単独で侵害されるだけでなく、その基盤が持つ「内部ネットワークやクラウドへアクセスできる立場」が攻撃に利用される問題です。

AI・機械学習基盤についても、一般的なインターネット境界システムと同様に、資産管理、外部公開管理、認証、パッチ管理、権限管理、ログ監視を行う必要があります。

出典

• CISA Adds One Known Exploited Vulnerability to Catalog – CISA
• Known Exploited Vulnerabilities Catalog – CISA
• Unauthenticated full-read SSRF in MLflow webhook delivery – MLflow / GitHub Security Advisory
• CVE-2026-64849 – NIST National Vulnerability Database
• JVNDB-2026-029152 – JVN iPedia
• Release v3.15.0 – MLflow / GitHub
• Release MLflow 3.15.1 – MLflow / GitHub
• Fix DNS-rebinding SSRF bypass in webhook delivery – MLflow / GitHub
• CISA warns of hackers exploiting critical MLflow vulnerability – BleepingCo