CVE-2026-64849: SSRF no MLflow em exploração ativa

A CVE-2026-64849 é uma vulnerabilidade de Server-Side Request Forgery (SSRF) no MLflow, ferramenta amplamente utilizada no gerenciamento do ciclo de vida de modelos de machine learning. Trata-se de uma falha classificada como HIGH e, segundo a CISA KEV, já está sob exploração ativa — o que coloca empresas e equipes de dados em estado de alerta máximo. A exploração ativa vulnerabilidade permite que um invasor, sem autenticação prévia em muitos cenários, force o servidor MLflow a realizar requisições arbitrárias para serviços internos ou endpoints de metadados de nuvem, obtendo response_status e response_body. Isso pode resultar em roubo de credenciais de instâncias cloud (AWS, GCP, Azure), acesso a redes internas e comprometimento total do ambiente de MLOps.

O que torna a CVE-2026-64849 especialmente crítica é o fato de ela estar listada no catálogo Known Exploited Vulnerabilities (KEV) da CISA, o que exige remediação urgente por parte de organizações que utilizam MLflow em qualquer estágio de seus pipelines. Diferentemente de vulnerabilidades teóricas, a presença no KEV indica que ataques reais já foram observados. Isso significa que a janela de proteção para empresas que ainda não aplicaram correções é, na prática, zero — configurando um cenário de zero-day ativo. Para times de segurança e infraestrutura, ignorar este alerta pode ser o equivalente a deixar a porta dos fundos aberta para exfiltração de dados sensíveis.

No contexto atual, não é apenas a CVE-2026-64849 que preocupa. O mesmo alerta máximo da CISA inclui outras vulnerabilidades ativamente exploradas, como CVE-2026-33824 (Microsoft IKE Double Free), CVE-2026-59310 (VMware vCenter Path Traversal), CVE-2026-55040 (SharePoint Weak Authentication), CVE-2026-65400 (Apple macOS Improper Authentication) e CVE-2025-62593 (Ray Code Injection). Estamos diante de uma onda de exploração coordenada que atinge desde infraestrutura on-premises até serviços gerenciados na nuvem. A CVE-2026-64849, porém, destaca-se por mirar diretamente o ecossistema de machine learning, onde a maturidade de segurança costuma ser inferior à de TI tradicional — e onde uma SSRF pode se transformar em acesso total à conta cloud em minutos.

A urgência é real e imediata. A CVE-2026-64849 exploração ativa vulnerabilidade já é observada em ambientes corporativos que utilizam MLflow para tracking de experimentos, registro de modelos e serving. Equipes de segurança precisam agir agora, não apenas para corrigir a falha, mas para rever arquiteturas de rede, permissões de IAM e a exposição de endpoints de metadados. A seguir, detalhamos tecnicamente a falha, seus vetores de ataque, impacto nos negócios e um plano de remediação passo a passo.

O que é a CVE-2026-64849 e a exploração ativa desta vulnerabilidade

A CVE-2026-64849 é uma falha de Server-Side Request Forgery no servidor de tracking do MLflow. O MLflow é uma plataforma open-source para gerenciar o ciclo de vida de machine learning, incluindo experimentos, reprodutibilidade, deployment e registro de modelos. Seu servidor de tracking expõe uma API REST que permite registrar runs, métricas, artefatos e modelos. A vulnerabilidade reside na forma como o servidor processa determinados parâmetros de requisição fornecidos pelo usuário, sem validar adequadamente os destinos das requisições internas. Isso permite que um atacante remoto manipule o servidor para que ele próprio faça requisições HTTP(S) para hosts arbitrários — internos ou externos — e retorne ao atacante o response_status e o response_body.

Na prática, o atacante pode alcançar serviços que não são diretamente acessíveis pela internet, como instâncias de banco de dados, APIs internas, serviços de configuração ou, de forma ainda mais crítica, os serviços de metadados de nuvem (por exemplo, 169.254.169.254 na AWS, GCP e Azure). Ao obter a resposta desses endpoints, muitas vezes contendo credenciais temporárias de IAM, chaves de API ou tokens de serviço, o invasor consegue escalar seu acesso para comprometer toda a conta cloud associada à instância que executa o MLflow. A exploração ativa vulnerabilidade já foi confirmada por agências de segurança, o que eleva o risco de exposição em massa.

Análise técnica detalhada da CVE-2026-64849 — exploração ativa e vetor SSRF

Do ponto de vista técnico, a CVE-2026-64849 é um exemplo clássico de SSRF (CWE-918). O MLflow, ao processar certos endpoints relacionados a tracking de artefatos, experimentos ou execuções, aceita um parâmetro de URL ou caminho que pode ser maliciosamente construído. Em versões vulneráveis, o servidor não sanitiza corretamente esse valor antes de realizar uma nova requisição HTTP. Isso permite que o atacante substitua o destino original por um endereço arbitrário — incluindo o IP de link-local de metadados de nuvem.

O impacto da SSRF não se limita ao acesso a metadados. Como o servidor MLflow geralmente roda com permissões elevadas para acessar bancos de dados, sistemas de arquivos e outros serviços internos, a falha pode ser usada para port scanning interno, leitura de endpoints administrativos, ataque a serviços internos autenticados por IP e até mesmo exfiltração de dados. Além disso, em ambientes que utilizam o MLflow para serving de modelos, o servidor pode ter permissões de escrita em buckets de armazenamento (S3, GCS) ou em registries de modelos — o que amplia o raio de destruição.

Explorar a CVE-2026-64849 não exige interação do usuário nem privilégios elevados. Em muitos casos, o servidor de tracking do MLflow é exposto publicamente para facilitar o trabalho de cientistas de dados, muitas vezes sem autenticação ou com autenticação fraca. O atacante precisa apenas enviar uma requisição HTTP manipulada para o endpoint vulnerável. Dependendo da implementação, a resposta completa do servidor interno é refletida de volta — o que torna a exploração trivial. Existe também a possibilidade de encadear essa SSRF com outras falhas para obter execução remota de código (RCE), caso o serviço de metadados ou outro endpoint interno retorne dados que possam ser usados em um segundo estágio.

A CVE-2026-64849 exploração ativa vulnerabilidade tem sido observada em campanhas que miram infraestruturas de machine learning em ambientes híbridos e multi-cloud. O padrão de ataque geralmente segue: (1) descoberta de instâncias MLflow expostas via Shodan ou varreduras; (2) envio de payload SSRF para 169.254.169.254/latest/meta-data/iam/security-credentials/; (3) obtenção de credenciais temporárias; (4) uso dessas credenciais para acessar a API cloud e movimentar lateralmente. Grupos de ameaça ainda não foram atribuídos publicamente, mas a técnica é consistente com operações de cibercrime voltadas a roubo de dados e mineração de criptomoedas.

Produtos e Versões Afetados

• MLflow — todas as versões anteriores à correção oficial (a versão corrigida é indicada pelo vendor, geralmente acima da 2.x mais recente).
• Instalações on-premises e cloud-managed que utilizam o servidor de tracking do MLflow sem restrições de rede.
• Ambientes que executam MLflow em containers ou Kubernetes com acesso aos serviços de metadados do host.
• Deployments que expõem o MLflow publicamente ou que não implementam autenticação forte na API de tracking.
• Componentes que consomem a API REST do MLflow para integração com ferramentas de MLOps, como notebooks Jupyter, pipelines de CI/CD e plataformas de experimentação.

Impacto real da exploração ativa da vulnerabilidade CVE-2026-64849

O impacto da CVE-2026-64849 pode ser devastador para uma organização. Abaixo, listamos os principais riscos:

• 🟠 Roubo de credenciais cloud: acesso a chaves de IAM temporárias via SSRF em 169.254.169.254 permite que o atacante assuma a identidade da instância e acesse todos os recursos cloud que ela pode alcançar, como buckets S3, bancos de dados gerenciados e filas.
• 🟠 Exfiltração de dados sensíveis: modelos de machine learning, datasets proprietários, métricas de experimentos e artefatos podem ser copiados e vazados, causando prejuízo competitivo e violações de propriedade intelectual.
• 🟠 Movimentação lateral: a SSRF serve como ponto de pivô para alcançar serviços internos que não estão expostos à internet, como painéis de administração, bancos de dados e APIs de orquestração.
• 🟠 Paralisação de operações de ML: atacantes podem deletar runs, modelos ou artefatos, interrompendo pipelines de CI/CD de machine learning e causando indisponibilidade de serviços que dependem de modelos servidos.
• 🟠 Riscos regulatórios e compliance: sob a LGPD, GDPR, PCI-DSS ou HIPAA, uma exploração bem-sucedida que exponha dados pessoais ou de pagamento pode resultar em multas severas, notificações obrigatórias e danos reputacionais.

Além disso, a exploração ativa documentada pela CISA indica que o tempo entre a descoberta da exposição e o comprometimento efetivo é extremamente curto — muitas vezes minutos. Organizações que monitoram apenas logs básicos podem não perceber o ataque até que o dano já esteja consumado. A inação diante da CVE-2026-64849 não é uma opção viável.

Como se Proteger — Passos de Mitigação da CVE-2026-64849

1. Aplique o patch imediatamente: atualize o MLflow para a versão corrigida assim que possível. Consulte o repositório oficial e a nota de segurança da CVE para o número exato da versão. Não adie: a exploração ativa já ocorre em escala.
2. Restrinja o acesso de rede ao servidor MLflow: coloque-o atrás de VPN ou em sub-rede privada, nunca exposto diretamente à internet. Use firewall para limitar origens confiáveis (IPs de colaboradores/cientistas de dados).
3. Bloqueie requisições para endereços de metadados: no nível de rede (iptables, security groups, políticas de rede Kubernetes), bloqueie o tráfego de saída para 169.254.169.254 e faixas de link-local. Em provedores cloud, use metadata service v2 (IMDSv2) com hop limit 1 e exigência de token.
4. Implemente autenticação forte no MLflow: se a versão ainda não suportar, coloque um proxy reverso com autenticação (OAuth, JWT, mTLS) à frente do servidor. Nunca deixe a API de tracking aberta.
5. Reduza privilégios da instância: rode o MLflow com o princípio do menor privilégio. Remova roles IAM excessivas, use políticas que neguem acesso a metadados e limite permissões de escrita em buckets apenas ao necessário.
6. Monitore ativamente por indicadores de SSRF: configure alertas para requisições HTTP que contenham 169.254.169.254, metadata.google.internal ou endpoints internos nos logs do MLflow e do proxy. Utilize SIEM para correlacionar eventos.
7. Implemente segmentação de rede: isole ambientes de desenvolvimento, teste e produção. O servidor MLflow não deve ter acesso irrestrito a outros serviços internos; use microsegmentação e políticas de egress.
8. Realize varredura contínua de vulnerabilidades: ferramentas de scanner podem detectar instâncias MLflow desatualizadas e expostas. Na JRT Technology Solutions implementamos varredura contínua de CVEs para frotas corporativas, identificando ativos com a CVE-2026-64849 e outras falhas críticas em tempo real.
9. Estabeleça um plano de resposta a incidentes: se houver suspeita de exploração, isole imediatamente a instância, revogue credenciais cloud, colete evidências e acione o time de segurança. A velocidade de contenção é decisiva.

Nosso SOC monitora alertas CISA KEV em tempo real e pode notificar sua equipe no momento em que uma nova exploração ativa é detectada, reduzindo o tempo de reação. Além disso, nosso serviço de MDM corporativo garante que dispositivos que acessam o MLflow também estejam em conformidade com políticas de segurança.

Verificação Pós-Patch e Teste de Eficácia

Após aplicar a correção e as mitigações, é essencial validar que a CVE-2026-64849 não pode mais ser explorada no ambiente. Siga este roteiro:

• Verifique a versão do MLflow: execute mlflow --version e confirme que é igual ou superior à versão corrigida. Documente a atualização em inventário de ativos.
• Teste controlado de SSRF: em ambiente de homologação, envie uma requisição semelhante à utilizada por atacantes (para um endpoint interno de teste, não os metadados reais) e verifique se a resposta é bloqueada ou se o servidor recusa o destino.
• Revise regras de egress: confirme que o tráfego para 169.254.169.254 e outros endereços de link-local está efetivamente bloqueado nas camadas de firewall, grupos de segurança e políticas de rede.
• Analise logs retrospectivos: procure por padrões como /latest/meta-data/ ou metadata.google.internal nos logs do MLflow, proxy e load balancer. Se encontrar ocorrências antes do patch, trate como comprometimento e acione o plano de resposta.
• Execute scans de vulnerabilidade autenticados: ferramentas como Nessus, Qualys ou OpenVAS devem confirmar a ausência da CVE. A JRT Technology Solutions oferece esse serviço de verificação pós-patch automatizada, garantindo que nenhuma instância fique esquecida.
• Valide as permissões IAM: use ferramentas como AWS IAM Access Analyzer ou similares para verificar se a instância do MLflow ainda possui acesso desnecessário a metadados ou a outros serviços sensíveis.

Lembre-se: a remediação não termina no patch. O ambiente deve ser continuamente monitorado, pois novas variantes da exploração podem surgir, e a superfície de ataque do ecossistema de ML continua em expansão.

Contexto Histórico e Comparativo com Outras Ameaças Ativas

A CVE-2026-64849 não é um evento isolado. O catálogo CISA KEV desta semana inclui outras vulnerabilidades zero-day/ativamente exploradas que merecem atenção imediata:

• 🟠 CVE-2026-33824 — Microsoft IKE Service Extensions Double Free: permite RCE em sistemas Windows, especialmente em gateways VPN e servidores de rede.
• 🟠 CVE-2026-59310 — VMware vCenter Path Traversal: execução arbitrária de código em vCenter com acesso de rede, afetando virtualização corporativa.
• 🟠 CVE-2026-55040 — Microsoft SharePoint Weak Authentication: bypass de autenticação que pode expor documentos e portais internos.
• 🟠 CVE-2026-65400 — Apple macOS Improper Authentication: acesso não autorizado a Screen Sharing sem credenciais válidas.
• 🟠 CVE-2025-62593 — Ray Code Injection: RCE em ambientes de desenvolvimento com Ray, explorável via navegadores Firefox e Safari.

Esse conjunto de falhas ativas revela uma tendência preocupante: atacantes estão diversificando alvos, indo além da TI tradicional para plataformas de dados, ML e ferramentas de desenvolvimento. A exploração ativa vulnerabilidade CVE-2026-64849 se encaixa nesse cenário, onde a segurança de aplicações de machine learning ainda é incipiente. Em comparação histórica, SSRF em serviços de metadados cloud lembra o ataque à Capital One em 2019, que resultou no vazamento de dados de mais de 100 milhões de clientes. A diferença agora é que o alvo é um componente open-source amplamente usado por cientistas de dados, muitas vezes sem o mesmo escrutínio de segurança que um servidor web tradicional receberia.

Outras notícias recentes corroboram o aumento da pressão: SAP Commerce Cloud CVE-2026-58231 explorado dias após o patch, Citrix NetScaler com falha crítica de autenticação, e GitLab com exploração logo após disclosure. O ecossistema de vulnerabilidades está mais rápido e mais agressivo. Para empresas que operam MLflow em produção, isso significa que a janela entre a publicação de um patch e a exploração ativa é mínima — e, em alguns casos, negativa (zero-day).

Conclusão

A CVE-2026-64849 é uma ameaça real, ativa e de alto impacto. Ignorar este alerta pode resultar em comprometimento total de ambientes cloud, roubo