Pengelola MLflow, platform sumber terbuka untuk mengelola eksperimen pembelajaran mesin yang dipasang lewat PyPI, merilis versi 3.17.0 pada 7 Oktober 2026 untuk menutup dua celah di server pelacakannya. Rincian keduanya ramai dibahas sejak nomor CVE terbit pada 27 Oktober 2026. Salah satunya berskor CVSS 9,8 dan membuka jalan ke eksekusi kode jarak jauh.
Dua celah dengan dampak berbeda
CVE-2026-116692 (CVSS 9,8) ada di cara MLflow memuat scorer pihak ketiga. Menurut advisori GitHub bernomor GHSA-26p8-2jq9-3vq9, server menerima jalur modul dari permintaan, mengimpornya, lalu membuat objek dari kelas di dalamnya. Pemeriksaan awalan paket meloloskan semua jalur turunan, sehingga penyerang yang bisa menaruh berkas di paket yang diizinkan dapat membuat server menjalankan kodenya dengan hak akses proses server. Versi terdampak adalah 3.12.0rc0 sampai sebelum 3.17.0. Di server bawaan tanpa autentikasi, penyerang tidak butuh akun. Bila basic authentication aktif, penyerang masih perlu akun yang boleh membuat eksperimen dan mengunggah artefak.
CVE-2026-116690 (CVSS 7,5) adalah celah path traversal pada penanganan sumber versi model prompt. Pemanggil jarak jauh bisa membuat server membaca berkas lokal yang dapat dijangkau prosesnya. Rentang versi terdampak ditulis berbeda antarsumber: Daily CyberSecurity menyebut 3.10.0 sampai 3.16.1, sedangkan pelacak kerentanan lain menulis 3.10.0 sampai sebelum 3.17.0. Karena itu, anggap 3.17.0 sebagai batas aman untuk keduanya.
Soal serangan nyata, Daily CyberSecurity melaporkan bahwa honeypot milik Previdian mencatat upaya eksploitasi CVE-2026-116690 dalam sehari setelah CVE terbit. Saya belum menemukan laporan itu di sumber lain, jadi statusnya masih sumber tunggal. Ostorlab menulis tidak ada eksploitasi CVE-2026-116692 yang diketahui per 28 Oktober, dan keduanya belum masuk katalog KEV milik CISA. Rincian teknis kedua celah sudah terbuka untuk umum, sehingga jeda antara pengungkapan dan serangan bisa pendek.
Langkah yang perlu diambil
Perbarui paket mlflow di PyPI ke 3.17.0, lalu mulai ulang atau buat ulang container server dan cek versi yang berjalan lewat endpoint /version. Ostorlab menyarankan langkah buat ulang ini agar sisa proses lama tidak ikut terbawa. Jangan membuka server MLflow ke internet tanpa autentikasi, karena perintah mlflow server berjalan tanpa autentikasi secara bawaan. Batasi jangkauan jaringan, aktifkan autentikasi, jalankan server sebagai pengguna non-root, dan buat direktori paket hanya bisa dibaca. Advisori mencatat bahwa filesystem read-only atau direktori scorer milik pengguna lain memblokir rantai serangan CVE-2026-116692, tetapi autentikasi saja tidak menutupnya sepenuhnya. Bila server pernah terjangkau dari internet, putar ulang kredensial dan kunci yang tersimpan di dalamnya.
Dampak bagi tim yang menjalankan MLflow
Tim data dan pengembang yang memasang MLflow di VPS atau layanan cloud perlu memeriksa apakah port servernya bisa dijangkau dari luar jaringan kantor. Server yang terbuka dan belum diperbarui sebaiknya dianggap sudah berisiko, termasuk kunci cloud dan data eksperimen yang tersimpan di dalamnya. Pembaruan ke 3.17.0 dan penutupan akses publik adalah dua langkah yang paling menentukan.
Sumber: Ostorlab, advisori GitHub MLflow, dan Daily CyberSecurity. Gambar: Ostorlab.