事件经过
Wiz（谷歌）于2026-10-14发布了关于LiteLLM的一组发现：CVE-2026-59822是一个未认证的MCP认证绕过（经NVD验证：CVSS 8.2 v3.1 / 8.8 v4.0，CWE-287/306，已加入KEV且SSVC利用状态=活跃）；CVE-2026-59821允许特权用户通过自定义代码防护栏生产路径提交自定义Python代码，该路径运行时不经过测试沙箱（CVSS 7.2）。Wiz还标记了一个默认配置，即在未设置认证时向任何人授予PROXY_ADMIN权限，以及一个可能泄露云凭据的直通端点URL验证缺口。9.6%的被扫描公共实例处于暴露状态。
影响分析
AI网关是应用程序与组织使用的每个模型之间的咽喉要道；被攻破会暴露所有API密钥、提示词、模型流量以及进程持有的任何IAM范围的云凭据。已确认的野外利用（KEV）加上默认单密钥或无认证部署，使其成为该时间窗口内最高优先级的AI基础设施修复项：未认证进入，随后在模型服务基础设施上获得根级代码执行。请修补至>= 1.84.0，轮换默认密钥，并显式配置认证。
攻击途径
远程未认证：MCP Streamable HTTP端点接受伪造的Authorization头，触发OAuth2直通回退，将失败的LiteLLM密钥验证替换为空的UserAPIKeyAuth对象，从而使请求无需有效密钥即可到达MCP工具。一旦通过认证（或通过未配置认证时的默认PROXY_ADMIN），自定义代码防护栏的创建/更新路径不应用测试端点沙箱，因此攻击者提供的Python代码会在代理进程中执行——Wiz报告可在主机上实现根级RCE。
受影响系统
BerriAI LiteLLM < 1.84.0（CVE-2026-59822）；< 1.82.0-stable（CVE-2026-59821自定义代码防护栏）
缓解措施
将LiteLLM升级至>= 1.84.0（认证绕过）和>= 1.82.0-stable（防护栏沙箱）。替换sk-1234默认密钥，对暴露实例强制认证，将UI/API限制在可信网络内。CISA BOD 26-04针对CVE-2026-59822的截止日期为2026-09-16——请立即应用。供应商GHSA-7488-6r32-c95q / GHSA-72m8-9m7m-h278。