Angreifer gehen derzeit besonders zielstrebig vor: Rund um die MLflow SSRF-Schwachstelle melden unabhängige Beobachter massives Scannen und frühe Ausnutzung. Betroffen sind offenbar vor allem öffentlich erreichbare MLflow-Instanzen, die Angreifern einen direkten Weg zu internen Cloud-Diensten eröffnen. Parallel wird auch eine kritische Lücke in FUXA von böswilligen Akteuren unter die Lupe genommen.
In diesem Artikel ordnen wir die gemeldeten Schwachstellen ein, zeigen typische Angriffspfade und erklären, welche Schritte Organisationen kurzfristig priorisieren sollten.
Was steckt hinter der MLflow SSRF-Lücke (CVE-2026-64849)?
Die zentrale Schwachstelle betrifft MLflow und trägt die Kennung CVE-2026-64849. Sie wird als Server-Side Request Forgery (SSRF) beschrieben und erzielt einen hohen CVSS-Wert von 9,3.
Konkret kann ein Angreifer, sofern er den Tracking Server (also den MLflow-Server) erreichen kann, über die betroffene Funktion HTTP-Anfragen an beliebige interne Cloud-Metadata-Endpunkte absetzen. Dadurch lassen sich schutzbedürftige Informationen aus der Cloud-Umgebung auslesen.
Als betroffene Versionen nennt die Quelle MLflow-Versionen unter 3.15.0. Entscheidend ist dabei: Die Attacke setzt nicht darauf, dass der Angreifer selbst in das Cloud-Netz gelangt, sondern nutzt den MLflow-Server als „Proxy“ für interne Anfragen.
Warum Scans schnell zum Treffer führen
Beobachter berichten, dass Angreifer innerhalb weniger Stunden nach Zuweisung der CVE am 17. August 2026 breit nach exponierten MLflow-Systemen gesucht haben. Dabei wurden offenbar Instanzen „indiskriminierend“ im Internet abgeklopft, um Systeme zu finden, die vom Angreifer aus erreichbar sind.
Das ist für Betreiber besonders kritisch: Wer MLflow-Dienste ohne ausreichende Zugangskontrollen ins Internet stellt, senkt die Hürde für einen potenziellen SSRF-Angriff erheblich.
Wie gelangen Angreifer an Credentials und Secrets?
WatchTowr beschreibt, dass Angreifer die Schwäche ausnutzen, um Cloud-Metadata-Dienste direkt anzusteuern und anschließend Credentials sowie Secrets exfiltrieren zu können. Eine zentrale Rolle spielt dabei das Zusammenspiel mit Webhooks rund um das Model Registry.
In der Meldung wird erläutert, dass Angreifer die betroffene Funktion nutzen, um Anfragen über das System zu „proxyen“ und damit mit internen Services zu interagieren. Zusätzlich wird betont, dass bestehende Fixes zuvor teilweise umgangen werden können – offenbar wegen der Art, wie Web-Redirects verarbeitet werden.
Honeypot-Telemetry aus globalen Beobachtungen deutet zudem darauf hin, dass die Angriffe gezielt auf Cloud-unterstützte interne IPs und bekannte Services abzielen. Für Security-Teams heißt das: Es geht nicht nur um „irgendeine“ SSRF-Ausnutzung, sondern um konkrete Informationsbeschaffung aus typischen Cloud-Umgebungen.
Was sollten MLflow-Betreiber jetzt tun?
Die Quelle empfiehlt Organisationen, die auf MLflow setzen, besonders schnell bei den folgenden Punkten anzusetzen:
- Betroffene Systeme priorisiert patchen und dabei sicherstellen, dass Versionen unter 3.15.0 nicht mehr im Betrieb sind.
- Exponierte MLflow-Instanzen prüfen – insbesondere Systeme, die öffentlich erreichbar sind oder unnötige Netzwerkpfade anbieten.
- Audit-Logs kontrollieren, um Hinweise auf SSRF-typische Aktivitäten zu finden (etwa auffällige interne HTTP-Zugriffe oder ungewöhnliche Webhook-/Redirect-Muster).
- Bewerten, ob sensible Credentials exponiert sein könnten und – falls erforderlich – betroffene Zugänge rotieren oder neu ausstellen.
Damit reduzieren Sie die Wahrscheinlichkeit, dass aus einem reinen Scanner-Treffer ein echter Informationsabfluss wird.
FUXA: Authentifizierung fehlt, Path Traversal und potenzielle RCE
Neben MLflow rückt auch FUXA in den Fokus. Dabei handelt es sich um eine Open-Source webbasierte SCADA/HMI-Software für Operational Technology (OT) und industrielle Automatisierung.
Die relevante Schwachstelle trägt CVE-2026-25895 und wird mit einem CVSS-Wert von 9,5 als besonders kritisch eingeordnet. Laut Bericht liegt die Ursache in zwei Teilen: fehlende Authentifizierung für eine kritische Funktion sowie eine Path-Traversal-Problematik.
Das kann dazu führen, dass ein unauthentifizierter, entfernter Angreifer beliebige Dateien auf dem Serverdateisystem schreiben kann. Die Auswirkungen reichen im schlimmsten Fall bis zu einer Remote Code Execution – betroffen sind Versionen bis einschließlich 1.2.9.
Welche Angriffsversuche wurden beobachtet?
VulnCheck meldet, dass ab dem 18. August 2026 gezielte Scan-Aktivitäten für die FUXA-Schwachstelle einsetzen. Dabei wurde eine einzelne IP-Adresse beobachtet, die breit im Internet nach verwundbaren FUXA-Instanzen sucht.
Die Quelle nennt außerdem eine Größenordnung: Es gebe etwa 60 FUXA-Installationen, die öffentlich ins Internet exponiert seien.
Bei den beschriebenen Request-Versuchen wollten Angreifer offenbar das Datei-Handling ausnutzen, um „main.js“ mit nicht passenden Daten zu überschreiben – als Folge eines Path-Traversal-Angriffs. Laut Meldung wurden noch keine RCE-Payloads abgelegt.
Aktives Angriffsinteresse auch an weiteren FUXA-Lücken
Die aktuelle Entwicklung passt in ein breiteres Muster: Über das vergangene Jahr wurden bereits mehrere Schwachstellen in FUXA aktiv ausgenutzt. Genannt werden CVE-2026-25939 sowie CVE-2023-33831.
Für die letztgenannte Lücke wird berichtet, dass die Aktivität bis in den November 2025 zurückreicht und zuletzt sogar am Tag der Beobachtung erneut gesehen wurde. Das spricht für anhaltendes Interesse und wiederkehrende Scanning-Wellen statt isolierter Ereignisse.
Gemeinsame Lehre: Exponierte Systeme und unzureichende Härtung erhöhen das Risiko
Ob MLflow SSRF oder FUXA Path Traversal: In beiden Fällen spielt die Erreichbarkeit nach außen eine entscheidende Rolle. Während die MLflow SSRF-Lücke darauf abzielt, interne Cloud-Metadata auszulesen, kann die FUXA-Schwachstelle – durch fehlende Authentifizierung und manipulierte Dateipfade – im Ergebnis Serverdateien beeinflussen.
Für Betreiber bedeutet das: Patchen ist ein Muss, aber ebenso wichtig sind Netzwerksegmentierung, konsequente
Fazit: Schnelles Patchen und gezieltes Monitoring senken den Schaden
Die aktuellen Berichte zeigen, dass Angreifer die MLflow SSRF-Schwachstelle (CVE-2026-64849) nutzen, um über den Tracking Server interne Cloud-Informationen abzufragen und potenziell Credentials sowie Secrets zu exfiltrieren. Parallel wird auch FUXA (CVE-2026-25895) mit Scans und Dateimanipulationsversuchen in Verbindung gebracht, wobei bislang keine RCE-Payloads bestätigt sind.
Wenn Sie MLflow oder FUXA betreiben, sollten Sie die betroffenen Versionen zeitnah aktualisieren, die Exponierung im Netzwerk reduzieren und Audit- sowie Zugriffsdaten auf verdächtige Muster prüfen. So begrenzen Sie das Risiko, dass aus einem Scanning-Versuch ein ernsthafter Sicherheitsvorfall wird.
Quelle: https://thehackernews.com/2026/08/attackers-exploit-mlflow-ssrf-flaw-to.html
