{"id":2345,"date":"2026-08-20T09:17:52","date_gmt":"2026-08-20T12:17:52","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/08\/20\/cve-2026-64849-ssrf-no-mlflow-em-exploracao-ativa\/"},"modified":"2026-08-20T09:17:52","modified_gmt":"2026-08-20T12:17:52","slug":"cve-2026-64849-ssrf-no-mlflow-em-exploracao-ativa","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/08\/20\/cve-2026-64849-ssrf-no-mlflow-em-exploracao-ativa\/","title":{"rendered":"CVE-2026-64849: SSRF no MLflow em explora\u00e7\u00e3o ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

A CVE-2026-64849<\/strong> \u00e9 uma vulnerabilidade de Server-Side Request Forgery (SSRF)<\/strong> no MLflow<\/strong>, ferramenta amplamente utilizada no gerenciamento do ciclo de vida de modelos de machine learning. Trata-se de uma falha classificada como HIGH<\/strong> e, segundo a CISA KEV<\/strong>, j\u00e1 est\u00e1 sob explora\u00e7\u00e3o ativa<\/strong> \u2014 o que coloca empresas e equipes de dados em estado de alerta m\u00e1ximo. A explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> permite que um invasor, sem autentica\u00e7\u00e3o pr\u00e9via em muitos cen\u00e1rios, force o servidor MLflow a realizar requisi\u00e7\u00f5es arbitr\u00e1rias para servi\u00e7os internos ou endpoints de metadados de nuvem, obtendo response_status<\/em> e response_body<\/em>. Isso pode resultar em roubo de credenciais de inst\u00e2ncias cloud (AWS, GCP, Azure), acesso a redes internas e comprometimento total do ambiente de MLOps.<\/p>\n

O que torna a CVE-2026-64849<\/strong> especialmente cr\u00edtica \u00e9 o fato de ela estar listada no cat\u00e1logo Known Exploited Vulnerabilities (KEV)<\/strong> da CISA, o que exige remedia\u00e7\u00e3o urgente por parte de organiza\u00e7\u00f5es que utilizam MLflow em qualquer est\u00e1gio de seus pipelines. Diferentemente de vulnerabilidades te\u00f3ricas, a presen\u00e7a no KEV indica que ataques reais j\u00e1 foram observados<\/strong>. Isso significa que a janela de prote\u00e7\u00e3o para empresas que ainda n\u00e3o aplicaram corre\u00e7\u00f5es \u00e9, na pr\u00e1tica, zero \u2014 configurando um cen\u00e1rio de zero-day<\/strong> ativo. Para times de seguran\u00e7a e infraestrutura, ignorar este alerta pode ser o equivalente a deixar a porta dos fundos aberta para exfiltra\u00e7\u00e3o de dados sens\u00edveis.<\/p>\n

No contexto atual, n\u00e3o \u00e9 apenas a CVE-2026-64849<\/strong> que preocupa. O mesmo alerta m\u00e1ximo da CISA inclui outras vulnerabilidades ativamente exploradas, como CVE-2026-33824<\/strong> (Microsoft IKE Double Free), CVE-2026-59310<\/strong> (VMware vCenter Path Traversal), CVE-2026-55040<\/strong> (SharePoint Weak Authentication), CVE-2026-65400<\/strong> (Apple macOS Improper Authentication) e CVE-2025-62593<\/strong> (Ray Code Injection). Estamos diante de uma onda de explora\u00e7\u00e3o coordenada que atinge desde infraestrutura on-premises at\u00e9 servi\u00e7os gerenciados na nuvem. A CVE-2026-64849<\/strong>, por\u00e9m, destaca-se por mirar diretamente o ecossistema de machine learning, onde a maturidade de seguran\u00e7a costuma ser inferior \u00e0 de TI tradicional \u2014 e onde uma SSRF pode se transformar em acesso total \u00e0 conta cloud em minutos.<\/p>\n

A urg\u00eancia \u00e9 real e imediata. A CVE-2026-64849 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> j\u00e1 \u00e9 observada em ambientes corporativos que utilizam MLflow para tracking de experimentos, registro de modelos e serving. Equipes de seguran\u00e7a precisam agir agora, n\u00e3o apenas para corrigir a falha, mas para rever arquiteturas de rede, permiss\u00f5es de IAM e a exposi\u00e7\u00e3o de endpoints de metadados. A seguir, detalhamos tecnicamente a falha, seus vetores de ataque, impacto nos neg\u00f3cios e um plano de remedia\u00e7\u00e3o passo a passo.<\/p>\n

O que \u00e9 a CVE-2026-64849 e a explora\u00e7\u00e3o ativa desta vulnerabilidade<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-64849<\/td>\n<\/tr>\n
CVSS Score<\/td>\n7.5 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nMLflow (vers\u00f5es sem patch)<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-918 \u2014 Server-Side Request Forgery (SSRF)<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n20\/08\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 vers\u00e3o corrigida dispon\u00edvel<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-64849<\/strong> \u00e9 uma falha de Server-Side Request Forgery<\/strong> no servidor de tracking do MLflow<\/strong>. O MLflow \u00e9 uma plataforma open-source para gerenciar o ciclo de vida de machine learning, incluindo experimentos, reprodutibilidade, deployment e registro de modelos. Seu servidor de tracking exp\u00f5e uma API REST que permite registrar runs, m\u00e9tricas, artefatos e modelos. A vulnerabilidade reside na forma como o servidor processa determinados par\u00e2metros de requisi\u00e7\u00e3o fornecidos pelo usu\u00e1rio, sem validar adequadamente os destinos das requisi\u00e7\u00f5es internas. Isso permite que um atacante remoto manipule o servidor para que ele pr\u00f3prio fa\u00e7a requisi\u00e7\u00f5es HTTP(S) para hosts arbitr\u00e1rios \u2014 internos ou externos \u2014 e retorne ao atacante o response_status<\/em> e o response_body<\/em>.<\/p>\n

Na pr\u00e1tica, o atacante pode alcan\u00e7ar servi\u00e7os que n\u00e3o s\u00e3o diretamente acess\u00edveis pela internet, como inst\u00e2ncias de banco de dados, APIs internas, servi\u00e7os de configura\u00e7\u00e3o ou, de forma ainda mais cr\u00edtica, os servi\u00e7os de metadados de nuvem<\/strong> (por exemplo, 169.254.169.254<\/code> na AWS, GCP e Azure). Ao obter a resposta desses endpoints, muitas vezes contendo credenciais tempor\u00e1rias de IAM, chaves de API ou tokens de servi\u00e7o, o invasor consegue escalar seu acesso para comprometer toda a conta cloud associada \u00e0 inst\u00e2ncia que executa o MLflow. A explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> j\u00e1 foi confirmada por ag\u00eancias de seguran\u00e7a, o que eleva o risco de exposi\u00e7\u00e3o em massa.<\/p>\n

An\u00e1lise t\u00e9cnica detalhada da CVE-2026-64849 \u2014 explora\u00e7\u00e3o ativa e vetor SSRF<\/h3>\n

Do ponto de vista t\u00e9cnico, a CVE-2026-64849<\/strong> \u00e9 um exemplo cl\u00e1ssico de SSRF (CWE-918). O MLflow, ao processar certos endpoints relacionados a tracking de artefatos, experimentos ou execu\u00e7\u00f5es, aceita um par\u00e2metro de URL ou caminho que pode ser maliciosamente constru\u00eddo. Em vers\u00f5es vulner\u00e1veis, o servidor n\u00e3o sanitiza corretamente esse valor antes de realizar uma nova requisi\u00e7\u00e3o HTTP. Isso permite que o atacante substitua o destino original por um endere\u00e7o arbitr\u00e1rio \u2014 incluindo o IP de link-local de metadados de nuvem.<\/p>\n

O impacto da SSRF n\u00e3o se limita ao acesso a metadados. Como o servidor MLflow geralmente roda com permiss\u00f5es elevadas para acessar bancos de dados, sistemas de arquivos e outros servi\u00e7os internos, a falha pode ser usada para port scanning<\/em> interno, leitura de endpoints administrativos, ataque a servi\u00e7os internos autenticados por IP e at\u00e9 mesmo exfiltra\u00e7\u00e3o de dados. Al\u00e9m disso, em ambientes que utilizam o MLflow para serving de modelos, o servidor pode ter permiss\u00f5es de escrita em buckets de armazenamento (S3, GCS) ou em registries de modelos \u2014 o que amplia o raio de destrui\u00e7\u00e3o.<\/p>\n

Explorar a CVE-2026-64849<\/strong> n\u00e3o exige intera\u00e7\u00e3o do usu\u00e1rio nem privil\u00e9gios elevados. Em muitos casos, o servidor de tracking do MLflow \u00e9 exposto publicamente para facilitar o trabalho de cientistas de dados, muitas vezes sem autentica\u00e7\u00e3o ou com autentica\u00e7\u00e3o fraca. O atacante precisa apenas enviar uma requisi\u00e7\u00e3o HTTP manipulada para o endpoint vulner\u00e1vel. Dependendo da implementa\u00e7\u00e3o, a resposta completa do servidor interno \u00e9 refletida de volta \u2014 o que torna a explora\u00e7\u00e3o trivial. Existe tamb\u00e9m a possibilidade de encadear essa SSRF com outras falhas para obter execu\u00e7\u00e3o remota de c\u00f3digo (RCE), caso o servi\u00e7o de metadados ou outro endpoint interno retorne dados que possam ser usados em um segundo est\u00e1gio.<\/p>\n

A CVE-2026-64849 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> tem sido observada em campanhas que miram infraestruturas de machine learning em ambientes h\u00edbridos e multi-cloud. O padr\u00e3o de ataque geralmente segue: (1) descoberta de inst\u00e2ncias MLflow expostas via Shodan ou varreduras; (2) envio de payload SSRF para 169.254.169.254\/latest\/meta-data\/iam\/security-credentials\/<\/code>; (3) obten\u00e7\u00e3o de credenciais tempor\u00e1rias; (4) uso dessas credenciais para acessar a API cloud e movimentar lateralmente. Grupos de amea\u00e7a ainda n\u00e3o foram atribu\u00eddos publicamente, mas a t\u00e9cnica \u00e9 consistente com opera\u00e7\u00f5es de cibercrime voltadas a roubo de dados e minera\u00e7\u00e3o de criptomoedas.<\/p>\n

Produtos e Vers\u00f5es Afetados<\/h3>\n