Wenn du zu Hause oder in der Firma mit KI-Experimenten spielst, steht auf deinem Server ziemlich sicher MLflow. Das Tool merkt sich, welches Modell du wann trainiert hast, welche Parameter dabei liefen und was am Ende rauskam. Praktisch. Und seit dem 18. August auch gefährlich.
Denn Angreifer klopfen inzwischen weltweit an genau diese Server — und ziehen sich dabei die Zugangsdaten zu deiner Cloud heraus. Ohne Passwort. Ohne Login. Einfach so.
SO FUNKTIONIERT DER ANGRIFF
Die Lücke heißt CVE-2026-64849 und hat einen CVSS-Wert von 9.3 von 10. Dahinter steckt eine Schwachstelle namens SSRF — Server Side Request Forgery. Klingt sperrig, ist aber simpel erklärt:
MLflow kann sogenannte Webhooks verschicken, also automatische Benachrichtigungen an andere Systeme. Bevor es das tut, prüft es eigentlich die Zieladresse. Genau diese Prüfung lässt sich austricksen — über HTTP-Weiterleitungen und über einen Trick namens DNS-Rebinding.
Das Ergebnis: Der Angreifer bestimmt, wohin dein eigener Server Anfragen schickt. Und er schickt sie dorthin, wo es wehtut — auf die internen Metadaten-Adressen von AWS, Azure oder Google Cloud. Dort liegen die temporären Zugangsschlüssel deiner Maschine. Ein Aufruf, ein Rückgabewert, fertig. Der Angreifer sitzt in deiner Cloud.
Betroffen sind alle MLflow-Versionen unter 3.15.0.
SCHON IN FREIER WILDBAHN
Das ist kein Labor-Szenario. Das Sicherheitsunternehmen watchTowr betreibt ein Netz aus Lockvogel-Servern — sogenannten Honeypots. Dort schlugen die ersten Ausnutzungsversuche innerhalb weniger Stunden nach Veröffentlichung auf, am 18. August 2026.
Der typische Ablauf: Erst wird gescannt, wer überhaupt einen MLflow-Server offen im Netz hat. Dann läuft der Credential-Diebstahl vollautomatisch durch. Wer erst in einer Woche patcht, hat unter Umständen längst Besuch gehabt.
UND DANN IST DA NOCH FUXA
Zeitgleich steht eine zweite Tür offen. FUXA ist eine freie Web-Oberfläche für industrielle Steuerungen — SCADA und HMI nennt sich das im Fachjargon. Wer eine Heizungs-, Solar- oder Maschinensteuerung visualisiert, kennt es vielleicht.
Dort klafft CVE-2026-25895 mit einem CVSS-Wert von 9.5. Zwei Probleme kommen zusammen: Eine kritische Funktion prüft gar nicht erst, ob der Aufrufer angemeldet ist. Und ein Pfad-Fehler erlaubt es, Dateien an beliebige Stellen im Dateisystem zu schreiben. In Kombination heißt das: fremder Code läuft auf deinem Server, ganz ohne Login.
Auch hier ist Scannen bereits beobachtet worden — VulnCheck registrierte die ersten Wellen ebenfalls am 18. August.
DAS MUSST DU JETZT TUN
Schritt 1 — Bestandsaufnahme. Läuft bei dir MLflow? Auch in einem Container, den du vor Monaten hochgezogen hast? Prüfe die Version mit mlflow --version. Alles unter 3.15.0 ist verwundbar.
Schritt 2 — Erreichbarkeit prüfen. Das ist der wichtigste Punkt. Ein MLflow-Tracking-Server hat auf einem offenen Port ins Internet nichts verloren. Er bringt von Haus aus keine Nutzerverwaltung mit. Pack ihn hinter einen Reverse Proxy mit Passwortschutz oder — besser — ins VPN.
Schritt 3 — Updaten. MLflow auf 3.15.0 oder neuer heben, FUXA auf die vom Projekt bereitgestellte korrigierte Version.
Schritt 4 — Spurensuche. Schau in die Zugriffslogs deines Servers. Auffällig sind Anfragen an Webhook-Endpunkte und ungewöhnliche ausgehende Verbindungen zu Adressen wie 169.254.169.254 — das ist der Metadaten-Dienst der großen Cloud-Anbieter.
Schritt 5 — Schlüssel tauschen. Falls du auch nur den Verdacht hast, dass Zugangsdaten abgeflossen sind: neue erzeugen, alte sperren. Sofort.
FAZIT: KI-WERKZEUGE SIND JETZT ZIELSCHEIBEN
Der Fall reiht sich in ein Muster ein. Werkzeuge rund um maschinelles Lernen sind in kurzer Zeit überall gelandet — oft schnell installiert, selten gehärtet. Angreifer haben das gemerkt. Wer eine KI-Umgebung betreibt, muss sie inzwischen so ernst nehmen wie einen Mailserver.
EXTRA-TIPP: Nimm dir eine halbe Stunde und liste auf, welche Dienste in deinem Netz tatsächlich von außen erreichbar sind. Bei den meisten Homelabs sind das ein bis zwei mehr, als man denkt.