Une nouvelle campagne d’exploitation met en lumière un risque concret pour les équipes qui opèrent des plateformes d’IA. Selon plusieurs signalements, des acteurs malveillants exploitent la faille MLflow CVE-2026-64849 afin de voler des informations sensibles, notamment des identifiants (credentials) et des secrets hébergés en environnement cloud.
Le problème concerne le serveur de suivi (Tracking Server) d’MLflow, composant central pour gérer le cycle de vie des projets de machine learning. Le défaut est classé CVE-2026-64849 avec un score CVSS de 9,3, ce qui traduit une gravité élevée.
MLflow et pourquoi cette faille compte
MLflow est une plateforme open source qui aide les équipes à organiser de bout en bout leurs activités de machine learning : suivi des expériences, gestion des artefacts et déploiement. Elle peut aussi être utilisée pour mettre en production des agents d’IA, des modèles de langage (LLM) et des modèles entraînés.
Le projet est largement adopté : il dispose de dizaines de millions de téléchargements mensuels et d’une base communautaire conséquente. Autrement dit, une vulnérabilité dans ses composants expose potentiellement un nombre important d’instances, y compris des systèmes accessibles depuis Internet ou des environnements cloud.
Que permet réellement la faille MLflow CVE-2026-64849
D’après les informations communiquées dans l’avis, la faille MLflow CVE-2026-64849 correspond à une Server-Side Request Forgery (SSRF) côté serveur, exploitable sans authentification.
En pratique, la faille autorise un attaquant à envoyer des requêtes HTTP vers des endpoints internes. L’objectif n’est pas seulement de “tester” un service : l’attaquant peut contourner des mécanismes de protection, puis viser des ressources internes critiques.
Dans les observations rapportées, les attaquants cherchent à atteindre directement les services de métadonnées cloud afin d’exfiltrer des identifiants cloud et des secrets.
Le point d’entrée : le Tracking Server et des webhooks exposés
L’origine du problème est liée au MLflow Tracking Server (le composant “mlflow server”). L’avis indique que celui-ci expose une API liée aux webhooks du Model Registry sans contrôle d’accès approprié.
Le mécanisme décrit implique un endpoint capable de renvoyer au demandeur le statut et le contenu de la réponse en amont. Cette capacité, combinée à la nature SSRF de la vulnérabilité, peut faciliter l’exploration du réseau et l’extraction d’informations.
Pourquoi les correctifs ne suffisent pas toujours
Un élément important concerne la protection ajoutée dans une version ultérieure du logiciel. Les informations disponibles indiquent qu’un mécanisme SSRF introduit à partir de la version 3.10.0 aurait pu être contourné.
Autrement dit, même en supposant que certains environnements aient appliqué des mises à jour partiellement, il restait un risque réel selon la configuration et la version en place.
Quelles versions sont touchées
Les signaux d’incident précisent que toutes les versions d’MLflow antérieures à 3.15.0 sont concernées par la faille MLflow CVE-2026-64849. Si votre organisation utilise MLflow en production, il est donc essentiel de vérifier rapidement votre version déployée.
La période d’exposition est également aggravée par la rapidité de l’appropriation offensive : l’exploitation “dans la nature” aurait commencé dans les heures qui suivent l’attribution de la CVE, en ciblant en particulier des instances hébergées sur le cloud.
Signaux d’attaque : exfiltration et recherche d’accès cloud
Les analyses rapportées insistent sur un scénario d’attaque précis : l’accès aux services de métadonnées cloud pour obtenir des identifiants. Une fois ces informations récupérées, un attaquant peut potentiellement utiliser les droits associés pour accéder à d’autres ressources.
Cette chaîne d’exploitation rend la remédiation plus urgente : l’impact ne se limite pas à MLflow lui-même, car les identifiants exposés peuvent servir de “clés” vers d’autres services cloud (stockage, bases de données, systèmes internes, etc.).
Ce que recommandent les organismes et le secteur
La sécurité publique suit de près ce type d’exploitations. La CISA, l’agence américaine de cybersécurité, a ajouté la CVE-2026-64849 à son catalogue Known Exploited Vulnerabilities (KEV). L’objectif pour les agences fédérales est de corriger sous deux semaines, conformément aux recommandations liées aux exigences de gestion des vulnérabilités.
Parallèlement, des acteurs du “threat landscape” conseillent une approche opérationnelle structurée : patch, réduction de surface d’attaque, puis vérification des traces.
Plan d’action recommandé pour les équipes IT et sécurité
Si vous exploitez MLflow, voici une démarche pratique, basée sur les recommandations mentionnées dans les alertes :
- Priorisez la mise à jour : corrigez toute instance exposée avant exploitation plus large, en visant une version postérieure à 3.15.0.
- Identifiez les systèmes exposés : vérifiez si le serveur MLflow (ou ses interfaces) est accessible depuis des réseaux non maîtrisés ou des environnements cloud ouverts.
- Contrôlez les journaux : inspectez les logs pour détecter des signes de compromission, notamment des appels anormaux vers des endpoints et des patterns compatibles avec des tentatives SSRF.
- Évaluez l’exposition possible de secrets : si des identifiants ont pu être atteints, considérez la nécessité de rotation des secrets et de réévaluation des politiques d’accès.
Ces étapes ne remplacent pas une analyse incident approfondie, mais elles permettent de réduire rapidement le risque dans l’intervalle critique suivant la divulgation.
Pourquoi agir vite : de la vulnérabilité à l’accès durable
Une SSRF sans authentification est particulièrement problématique parce qu’elle peut être déclenchée à distance. Dans le cas rapporté, la capacité à interagir avec des services internes et des métadonnées cloud peut conduire à une récupération d’informations qui ouvre la voie à des actions plus étendues.
En somme, la faille MLflow CVE-2026-64849 doit être traitée comme un incident potentiel : la correction technique est indispensable, mais elle doit s’accompagner d’une validation des journaux et d’une vérification de l’exposition des informations sensibles.
Conclusion
Des acteurs malveillants exploitent la faille MLflow CVE-2026-64849 pour mener des attaques de type SSRF sans authentification, avec pour cible des services internes et des métadonnées cloud. Les versions antérieures à 3.15.0 sont concernées et l’activité offensive aurait débuté très rapidement après l’attribution de la CVE.
La meilleure réponse consiste à corriger sans attendre les instances exposées, à surveiller les journaux pour détecter des comportements suspects et à vérifier si des identifiants ou secrets ont pu être compromis. En agissant maintenant, vous réduisez fortement le risque d’accès non autorisé à vos ressources cloud.
Source: https://www.securityweek.com/mlflow-vulnerability-exploited-for-cloud-credential-theft/
