Investigadores de watchTowr y VulnCheck han detectado actividades maliciosas de escaneo y explotación dirigidas a dos vulnerabilidades críticas que afectan a MLflow, una plataforma de inteligencia artificial de código abierto, y a FUXA, un software SCADA/HMI basado en web para automatización industrial y OT.
Las vulnerabilidades identificadas son CVE-2026-64849, con una puntuación CVSS de 9.3, que afecta a MLflow en versiones anteriores a la 3.15.0; y CVE-2026-25895, con una puntuación de 9.5, que afecta a FUXA en versiones hasta la 1.2.9. La primera es una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) no autenticada que permite a un atacante realizar solicitudes HTTP a endpoints internos de metadatos en la nube y extraer información sensible. La segunda es una falta de autenticación para funciones críticas y una vulnerabilidad de path traversal que permite a un atacante remoto no autenticado escribir archivos arbitrarios en el sistema de archivos del servidor y lograr la ejecución remota de código.
Los atacantes están explotando [CVE-2026-64849] para llegar directamente a los servicios de metadatos en la nube y exfiltrar credenciales y secretos de la nube. Detectamos actores maliciosos escaneando indiscriminadamente instancias de MLflow expuestas en línea horas después de que se asignara el CVE el 17 de agosto de 2026.
Según Yordan Ganchev, especialista principal en inteligencia de amenazas de watchTowr, la vulnerabilidad en MLflow permite a un atacante explotar una falla en los webhooks del registro de modelos para proxy solicitudes a través del sistema afectado e interactuar con servicios internos. El fallo evita parches anteriores debido a cómo maneja las redirecciones web. La telemetría de honeypots globales muestra que los atacantes están abusando de esta vulnerabilidad para apuntar a sistemas MLflow alojados en la nube, intentando extraer credenciales y secretos de direcciones IP y servicios internos conocidos.
Se recomienda a las organizaciones que ejecutan MLflow priorizar el parcheo de sistemas afectados y expuestos, revisar los registros de auditoría en busca de signos de compromiso y verificar si se han expuesto credenciales sensibles.
En cuanto a CVE-2026-25895, VulnCheck detectó escaneos maliciosos dirigidos a la falla a partir del 18 de agosto de 2026. Se ha observado una única dirección IP escaneando ampliamente Internet en busca de instancias vulnerables de FUXA. Hay aproximadamente 60 instalaciones de FUXA expuestas a Internet público. La solicitud del atacante intenta sobrescribir main.js con datos basura a través del path traversal de CVE-2026-25895, sin cargar aún payloads de ejecución remota de código, según Caitlin Condon, vicepresidenta de investigación de VulnCheck.
Durante el último año, otras dos vulnerabilidades en FUXA, CVE-2026-25939 y CVE-2023-33831, también han sido explotadas activamente, con la última mostrando actividad desde noviembre de 2025 y hasta hace poco, según Condon.
Deja una respuesta