Cảnh báo: Lỗ hổng SSRF trong MLflow đang bị khai thác để đánh cắp thông tin đám mây

Hai lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trên nền tảng trí tuệ nhân tạo (AI) mã nguồn mở MLflow và phần mềm SCADA/HMI FUXA đang trở thành mục tiêu tấn công tích cực của tin tặc.

Lỗ hổng SSRF trên MLflow (CVE-2026-64849)

Với điểm CVSS lên tới 9.3, lỗ hổng Server-Side Request Forgery (SSRF) này cho phép kẻ tấn công không cần xác thực có thể gửi các yêu cầu HTTP đến các endpoint nội bộ của dịch vụ đám mây. Thông qua việc khai thác các webhook trong tính năng model-registry, tin tặc có thể vượt qua các cơ chế bảo mật cũ nhờ cách xử lý chuyển hướng (redirect) web không an toàn, từ đó đánh cắp các thông tin xác thực (credentials) và bí mật (secrets) nhạy cảm.

Các chuyên gia từ watchTowr cho biết họ đã phát hiện các chiến dịch quét mạng diện rộng nhắm vào các instance MLflow ngay sau khi lỗ hổng này được công bố vào ngày 17/8/2026. Các tổ chức đang sử dụng MLflow phiên bản dưới 3.15.0 được khuyến cáo cần ưu tiên cập nhật bản vá ngay lập tức và kiểm tra nhật ký hệ thống để phát hiện dấu hiệu xâm nhập.

Lỗ hổng RCE trên FUXA (CVE-2026-25895)

Song song đó, lỗ hổng nghiêm trọng trên FUXA (CVSS 9.5) cũng đang bị nhắm tới. Lỗ hổng này liên quan đến việc thiếu kiểm soát xác thực và lỗi path traversal, cho phép kẻ tấn công từ xa ghi đè tệp tin lên hệ thống máy chủ, dẫn đến nguy cơ thực thi mã từ xa (Remote Code Execution – RCE).

VulnCheck ghi nhận các nỗ lực quét mạng nhắm vào lỗ hổng này bắt đầu từ ngày 18/8/2026. Mặc dù hiện tại chưa ghi nhận payload RCE cụ thể, nhưng việc các instance FUXA (phiên bản 1.2.9 trở xuống) đang bị quét cho thấy nguy cơ tấn công là rất cao. Các quản trị viên cần rà soát lại các cài đặt FUXA đang công khai trên internet và áp dụng các biện pháp bảo mật cần thiết.

Việc các lỗ hổng này bị khai thác nhanh chóng sau khi công bố là lời nhắc nhở quan trọng cho các đội ngũ vận hành hệ thống về tầm quan trọng của việc quản lý lỗ hổng (vulnerability management) và giám sát chặt chẽ các dịch vụ đang kết nối với internet.

Nguồn tham khảo: The Hacker News