Apa yang terjadi
Wiz (Google) menerbitkan pada 2026-10-14 sekelompok temuan tentang LiteLLM: CVE-2026-59822 adalah bypass autentikasi MCP tanpa autentikasi (terverifikasi NVD: CVSS 8.2 v3.1 / 8.8 v4.0, CWE-287/306, ditambahkan ke KEV dengan eksploitasi SSVC=aktif); CVE-2026-59821 memungkinkan pengguna berhak mengirimkan Python kustom melalui jalur produksi guardrail kode-kustom yang berjalan tanpa sandbox pengujian (CVSS 7.2). Wiz juga menandai konfigurasi default yang memberikan PROXY_ADMIN kepada siapa pun saat autentikasi tidak diatur, dan celah validasi URL endpoint pass-through yang dapat membocorkan kredensial cloud. 9,6% dari instance publik yang dipindai terpapar.
Mengapa penting
AI gateway adalah titik tersedak antara aplikasi dan setiap model yang digunakan organisasi; kompromi mengekspos semua kunci API, prompt, lalu lintas model, dan kredensial cloud tercakup IAM apa pun yang dipegang proses. Eksploitasi di alam liar yang terkonfirmasi (KEV) ditambah penerapan kunci-tunggal-default atau tanpa-autentikasi menjadikan ini perbaikan infrastruktur AI prioritas tertinggi dalam jendela waktu: masuk tanpa autentikasi diikuti eksekusi kode tingkat-akar pada infrastruktur pelayanan-model. Patch ke >= 1.84.0, rotasi kunci default, dan konfigurasikan autentikasi secara eksplisit.
Vektor serangan
Jarak jauh tanpa autentikasi: endpoint MCP Streamable HTTP menerima header Authorization palsu yang memicu fallback pass-through OAuth2, mengganti validasi kunci LiteLLM yang gagal dengan objek UserAPIKeyAuth kosong sehingga permintaan mencapai peralatan MCP tanpa kunci valid. Setelah terautentikasi (atau melalui PROXY_ADMIN default saat autentikasi tidak dikonfigurasi), jalur create/update guardrail kode-kustom tidak menerapkan sandboxing endpoint pengujian, sehingga Python yang disuplai penyerang dieksekusi dalam proses proxy — Wiz melaporkan RCE tingkat-akar pada host.
Sistem yang terdampak
BerriAI LiteLLM < 1.84.0 (CVE-2026-59822); < 1.82.0-stable (CVE-2026-59821 guardrail kode-kustom)
Mitigasi
Tingkatkan LiteLLM ke >= 1.84.0 (bypass autentikasi) dan >= 1.82.0-stable (sandbox guardrail). Ganti kunci default sk-1234, paksa autentikasi pada instance yang terpapar, batasi UI/API ke jaringan tepercaya. Tanggal jatuh tempo CISA BOD 26-04 untuk CVE-2026-59822 adalah 2026-09-16 — terapkan sekarang. GHSA vendor GHSA-7488-6r32-c95q / GHSA-72m8-9m7m-h278.