何が起きたか
Wiz（Google）は2026年10月14日にLiteLLMに関する一連の調査結果を公開しました：CVE-2026-59822は未認証のMCP認証バイパスです（NVD検証済み：CVSS 8.2 v3.1 / 8.8 v4.0、CWE-287/306、KEV追加済み、SSVC悪用状況=活動中）。CVE-2026-59821は、特権ユーザーがテストサンドボックスなしで実行されるカスタムコードガードレール本番パスを介してカスタムPythonを提出できるようにします（CVSS 7.2）。Wizはまた、認証が設定されていない場合に誰にでもPROXY_ADMINを付与するデフォルト設定と、クラウド認証情報を漏洩させる可能性のあるパススルーエンドポイントのURL検証ギャップを指摘しました。スキャンされた公開インスタンスの9.6%が露出していました。
なぜ重要か
AIゲートウェイは、アプリケーションと組織が使用するすべてのモデル間のチョークポイントです。侵害されると、すべてのAPIキー、プロンプト、モデルトラフィック、およびプロセスが保持するIAMスコープのクラウド認証情報が露出します。確認済みの実環境での悪用（KEV）に加え、デフォルトの単一キーまたは認証なしのデプロイにより、これは期間内で最優先のAIインフラストラクチャ修正事項となります：未認証エントリに続いてモデルサービスインフラストラクチャ上でのルートレベルのコード実行。>= 1.84.0にパッチ適用し、デフォルトキーをローテーションし、認証を明示的に設定してください。
攻撃経路
リモートからの未認証：MCP Streamable HTTPエンドポイントは、偽造されたAuthorizationヘッダーを受け入れ、OAuth2パススルーフォールバックをトリガーし、失敗したLiteLLMキー検証を空のUserAPIKeyAuthオブジェクトに置き換えるため、有効なキーなしでリクエストがMCPツールに到達します。認証されると（または認証が未設定の場合のデフォルトのPROXY_ADMINを介して）、カスタムコードガードレールの作成/更新パスはテストエンドポイントのサンドボックス化を適用しないため、攻撃者によって提供されたPythonがプロキシプロセス内で実行されます—Wizはホスト上でのルートレベルのRCEを報告しています。
影響を受けるシステム
BerriAI LiteLLM < 1.84.0（CVE-2026-59822）；< 1.82.0-stable（CVE-2026-59821 カスタムコードガードレール）
緩和策
LiteLLMを>= 1.84.0（認証バイパス）および>= 1.82.0-stable（ガードレールサンドボックス）にアップグレードしてください。sk-1234のデフォルトキーを置き換え、露出したインスタンスで認証を強制し、UI/APIを信頼できるネットワークに制限してください。CVE-2026-59822のCISA BOD 26-04の期日は2026年9月16日でした—今すぐ適用してください。ベンダーのGHSA-7488-6r32-c95q / GHSA-72m8-9m7m-h278。