「MLflow」脆弱性の悪用を確認　米CISAが注意喚起

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、「MLflow」に存在する脆弱性が実際に悪用されていることを確認し、注意喚起を行った。同庁は、脆弱性「CVE-2026-64849」を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities：KEV）」へ追加し、利用者に対し影響の有無を確認したうえで必要な対応を取るよう促している。

事案の詳細

今回の注意喚起は、機械学習モデルの開発や運用を支援するプラットフォーム「MLflow」において、脆弱性が現実の攻撃で悪用されていることが確認された、とする米CISAの発表に基づく。対象となっているのは「CVE-2026-64849」として管理されるサーバサイドリクエストフォージェリ（SSRF）の脆弱性で、「MLflow」のアウトバウンドWebhook配信機能におけるリダイレクト処理の不備を突くことで、内部サービスやクラウド環境のメタデータサービスへリクエストを送信させ、レスポンスのステータスや本文が攻撃者に窃取されるおそれがある。

共通脆弱性評価システム「CVSS v3.1」におけるベーススコアは「9.3」で、重要度は4段階中もっとも高い「クリティカル（Critical）」と評価されている。影響を受けるのは、MLflowのうちバージョン3.15.0より前のバージョンを用いている環境で、脆弱なエンドポイントが外部から到達可能となっている場合、認証なしに攻撃が成立しうる。

米CISAは、同脆弱性を悪用した攻撃が確認されていることを明示したうえで、利用者側に注意を促している。具体的には、MLflowを利用している組織や担当者が自組織の環境を把握し、脆弱なバージョンや構成が残存していないか確認したうえで、必要な対策を速やかに実施することが求められる。また、米連邦政府機関については、現地時間2026年9月2日までに対策を完了する期限が示されており、同庁の拘束力を持つ指令「Binding Operational Directive（BOD）26-04」に従い、公開環境での脆弱資産を優先的に解消するよう指示されている。

現時点で、公表されている情報からは被害の具体的な規模や、影響を受けた組織数などを断定することはできない。一方で、同脆弱性がCISAのKEVカタログに追加されたことは、すでに攻撃者が当該脆弱性を用いて実際の攻撃を行っていることを意味し、対応の先送りがリスクを高める状況に入っていることを示すものといえる。

影響と背景

MLflowのように、機械学習モデルの管理や実験結果の追跡などを支える基盤ソフトウェアで脆弱性が悪用されると、影響は特定の端末にとどまらず、運用基盤や業務プロセス全体に波及しうる。今回のSSRF脆弱性では、攻撃者がMLflowサーバから内部ネットワーク上のサービスやクラウドメタデータエンドポイントへ到達し、クラウド環境の認証情報やシークレットなど、機密性の高い情報を窃取する手段として利用される可能性が指摘されている。

MLflowは、データサイエンスや機械学習プロジェクトを支える共通基盤として、開発・検証・本番環境をまたいで利用されるケースが多い。そのため、外部からアクセス可能なトラッキングサーバや管理系インターフェースが、十分な認証やアクセス制御が行われないまま残存していると、攻撃者にとって有望な侵入経路となりうる。米当局が注意喚起を出し、KEVカタログへ追加したこと自体が、同脆弱性を利用した攻撃が今後広く波及するおそれがあり、利用者にとって優先順位を上げて対処すべき事案であることを示している。

対策・今後の展望

• 利用状況の把握：自社内でMLflowを利用している部署・環境（本番、検証、開発）を洗い出し、外部公開の有無や運用責任者を明確にする。特に、MLflowトラッキングサーバやWebhook機能をインターネットから到達可能な状態で運用していないか確認する。
• ベンダーや公式情報の確認：MLflowに関する脆弱性情報や修正情報を確認し、自社の利用バージョンが「3.15.0」以降かどうか、問題のエンドポイントが有効になっていないかなど、影響を受ける構成かを判断する。CISAのKEVカタログやBOD 26-04におけるガイダンスも参照し、優先度付けを行う。
• 更新・緩和策の適用：MLflowのバージョンを3.15.0以降へ更新するなど、ベンダーが提示するアップデートや設定変更を計画的に適用する。暫定的に問題のWebhookエンドポイントを無効化する、外部からの到達経路を遮断するなどの緩和策も検討する。適用後は動作確認とログ確認を行い、想定外の挙動や不審なリクエストが継続していないか確認する。
• 監視と記録：脆弱性が悪用されている状況を踏まえ、MLflowサーバに対するアクセスログやWebhookの呼び出し履歴、クラウドメタデータサービスへのアクセス状況など、関連する通信や操作の記録を確認できる状態に整備する。不審なリクエストや内部サービスへの想定外のアクセスがないかを継続的に監視し、異常の早期検知につなげる。

CSRIからの現場アドバイス

【現場で何が起きているか】CSRIが支援する中小企業の診断やMDR運用では、業務の裏側で動く管理系ツールが「検証用のまま」公開状態で残る例が少なくない。MLflowのような基盤ソフトウェアでも、テスト運用のつもりで立ち上げたトラッキングサーバがそのままインターネットから到達可能な状態で放置され、認証やアクセス制御が十分に行われていないケースが見受けられる。アラートでは、外部から管理画面やAPIエンドポイントに対する不審なアクセスが増える局面が目立つ。

【平易な解説】例えるなら、会社の裏口の鍵が古いままで、合鍵の作り方が知られてしまったようなものです。つまり、普段は問題なく動いていても、狙われた瞬間に入り口として使われる危険がある、ということです。今回の脆弱性では、その裏口から社内ネットワークの奥やクラウド環境の鍵に相当する情報まで覗き見される可能性がある点が問題です。

【今週中にできること】まず、社内にMLflowを使っている環境があるかを棚卸しし、外部からアクセスできる設定になっていないか確認してください。特に、トラッキングサーバやWebhook機能がインターネットに公開されていないかを重点的に見直します。次に、担当者に「米CISAがCVE-2026-64849の悪用を確認し、KEVに追加した」と共有し、MLflowのバージョンや構成が最新かどうか、更新や暫定対応の要否を公式情報で照合する流れを作りましょう。ログを確認し、過去に不審なアクセスや内部サービスへの予期せぬリクエストがなかったかをチェックすることも有効です。

参照: 「MLflow」脆弱性の悪用を確認 – 米当局が注意喚起