Expediente mlflow-ssrf-cve-2026-64849Cadena de suministro de IAGlobal
Fallo SSRF de MLflow (CVE-2026-64849) explotado activamente, exponiendo servicios internos
CISA afirma que un fallo de falsificación de peticiones del lado del servidor en MLflow está siendo explotado activamente, lo que permite a los atacantes alcanzar servicios internos o de metadatos en la nube y leer el estado y el cuerpo de la respuesta.
AltaAtaque a la IAEstado: En cursoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 14 oct 2026
- Ubicación
- Global
- Objetivo
- Servidores de la plataforma de ML MLflow
- Gravedad
- Alta
- Provocado por
- Desconocido
- Tipo de actor
- Desconocido
- Pérdida reportada
- Ninguna reportada
- CVE
- CVE-2026-64849
Qué ocurrió
CISA afirma que un fallo de falsificación de peticiones del lado del servidor en MLflow está siendo explotado activamente, lo que permite a los atacantes alcanzar servicios internos o de metadatos en la nube y leer el estado y el cuerpo de la respuesta.
Impacto: Desconocido; los atacantes pueden leer respuestas de servicios internos y de metadatos en la nube.
Quién lo provocó
Actor: Desconocido
Atribución: No se indica en la entrada del KEV de CISA.
Motivo: Desconocido
Cómo ocurrió
Vector de ataque: Falsificación de peticiones del lado del servidor contra el servidor MLflow para alcanzar endpoints internos o de metadatos en la nube.
Causa raíz: Vulnerabilidad de falsificación de peticiones del lado del servidor en MLflow.
Cronología
- Reportado por CISA KEV
Respuesta
Añadido al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.
Estado actual: En curso
Fuentes (pestaña nueva)
- CISA KEV cisa.gov
Citar este expediente
Fallo SSRF de MLflow (CVE-2026-64849) explotado activamente, exponiendo servicios internos. AI Threat Watch, expediente mlflow-ssrf-cve-2026-64849, 14 oct 2026. https://aithreat.io/es/cases/mlflow-ssrf-cve-2026-64849/
Enlace permanente: https://aithreat.io/es/cases/mlflow-ssrf-cve-2026-64849/