米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年8月19日、機械学習の実験管理基盤「MLflow」の脆弱性CVE-2026-64849を、実際に悪用が確認された脆弱性をまとめた「KEVカタログ」に登録した。CVE採番からわずか2日後のことだ。認証なしで悪用でき、成功すればクラウド環境の一時認証情報が攻撃者の手に渡りうる。AI・機械学習の開発基盤が、新たな侵入口として狙われるリスクが高まっている。
認証なしで内部に手を伸ばせる「SSRF」
CVE-2026-64849は、MLflowのWebhook配信機能に存在するサーバサイドリクエストフォージェリ（SSRF）の脆弱性だ。SSRFとは、外部から到達できるサーバを踏み台にして、本来なら外からアクセスできない内部のシステムへリクエストを送らせる攻撃手法を指す。
NVDの記載によれば、問題は認証不要で呼び出せる `POST /api/2.0/mlflow/webhooks/{id}/test` エンドポイントにある。このエンドポイントは指定されたURLの妥当性を検証する処理を持つが、検証対象は最初のURLのみとなっている。実際に配信を行う処理はHTTPリダイレクトを追いかけ、その際にホスト名を再解決する。検証済みのアドレスを固定していないため、攻撃者は「検証を通るURL」から「内部のアドレス」へリダイレクトさせることで、チェックをすり抜けられる。
さらに厄介なのは、このテスト用エンドポイントが応答のステータスコードと本文を呼び出し元に返す点だ。攻撃者は内部サービスやクラウドのメタデータサービスから返ってきた中身をそのまま読み取れる。深刻度を示すCVSS v3.1の基本値は、CVEの採番機関（CNA）であるGitHubにより9.3（緊急）と評価されており、脆弱性の分類はCWE-918（SSRF）に該当する。影響を受けるのは3.15.0より前のバージョンで、3.15.0で修正済みだ。
採番直後から始まっていたスキャン
NVDへの公開は8月17日、CISAによるKEVカタログ追加は8月19日。この短さ自体が、悪用の速さを物語っている。
報道によると、CVE採番から数時間のうちに、インターネットに公開されたMLflowインスタンスを探すスキャンが広範囲で観測された。実際の被害例として、クラウドのメタデータサービスから一時認証情報を抜き取り、それを使ってクラウド資源を列挙したうえで、暗号資産のマイニングツールを展開したり、新たなIAM（クラウドのアクセス権限管理）ユーザーやロールを作成して居座り続けたりする動きが報じられている。認証情報を奪われた時点で、攻撃者はMLflowの外側にあるクラウド環境そのものへ活動範囲を広げられる。
CISAは連邦民間行政機関（FCEB）に対し、2026年9月2日までの対処を求めている。これは米国政府機関向けの拘束力ある指令に基づく期限だが、CISAはKEVカタログ掲載の脆弱性についてすべての組織が優先的に対処するよう推奨している。
AI基盤は「守る対象」のリストに入っているか
この一件が突きつけているのは、機械学習やAIの開発基盤が、他のWebアプリケーションと同じ物差しで守られていないケースが少なくない、という現実だ。
MLflowのような実験管理ツールは、データサイエンティストや研究部門が業務効率のために導入することが多く、情報システム部門の資産台帳に載らないまま動き続けることがある。検証用として立てたインスタンスがインターネットに露出したまま忘れられる、認証をかけずに社内向けのつもりで公開する、といった状態は珍しくない。そして今回の脆弱性は、まさに「認証なしで到達できること」を前提に悪用されている。
もう一点、クラウド上で動く機械学習基盤は、その性質上、ストレージや学習データにアクセスするための強い権限を与えられていることが多い。SSRFでメタデータサービスに到達されれば、その権限がそのまま攻撃者のものになる。脆弱性そのものは「情報を読み取られる」ものだが、読み取られるのが認証情報である以上、実質的な影響は環境全体への不正アクセスにつながりうる。
対処の第一歩は、3.15.0以降への更新である。あわせて、自社でMLflowを含むAI・機械学習系のツールがいくつ稼働しており、どれがインターネットに露出し、どのようなクラウド権限を持っているかを棚卸ししておきたい。加えて、認証情報が盗まれた後に起きる「見慣れないIAMユーザーの作成」「想定外のリージョンでのインスタンス起動」といった挙動を検知できる体制があるかどうかも、被害の分かれ目になる。
同じ手口に、自社は備えられていますか？