「MLflow」脆弱性の悪用を確認 - 米当局が注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「MLflow」に関する脆弱性が悪用されているとして注意喚起を行った。

「MLflow」は機械学習モデルの開発や運用を支援するプラットフォーム。現地時間2026年8月19日、「悪用が確認された脆弱性カタログ（KEV）」に脆弱性「CVE-2026-64849」を追加したもの。

「CVE-2026-64849」は、サーバサイドリクエストフォージェリ（SSRF）の脆弱性で、「MLflow」によって内部サービスやクラウド環境のメタデータサービスへリクエストを送信させ、レスポンスのステータスや本文を攻撃者によって窃取される可能性がある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

米行政機関における対策期限は現地時間9月2日とした。脆弱性は広く悪用されるおそれがあり、同製品を利用する組織なども注意が必要となる。

（Security NEXT - 2026/08/20 ）ツイート