Die 7 wichtigsten Fakten zum LiteLLM-Exploit CVE-2026-42271

CISA hat hinzugefügt CVE-2026-42271, eine Befehlsinjektionslücke in LiteLLM, heute Morgen in seinen Katalog bekannter ausgenutzter Schwachstellen auf. Forscher bei Horizon3.ai haben einen verketteten Exploit-Pfad bestätigt, der eine nicht authentifizierte Remotecodeausführung ohne erforderliche Anmeldedaten ermöglicht.

Hier ist, was Sie wissen müssen.

1. Was LiteLLM ist und warum es ein Ziel ist

LiteLLM ist ein Open-Source-Proxy, der APIs von Large Language Models (LLMs) in einem OpenAI-kompatiblen Format bereitstellt. Er fungiert als Bindeglied zwischen Ihren Anwendungen und Ihren KI-Anbietern wie OpenAI, Anthropic und Mistral, leitet Anfragen weiter, verwaltet API-Schlüssel und setzt Ratenlimits durch. Viele Organisationen, die eine selbst gehostete KI-Infrastruktur betreiben, nutzen ihn als zentrales Gateway, was ihn zu einer der sensibleren Komponenten im modernen KI-Stack macht.

Diese Position macht es zudem zu einem Anmeldedaten-Aggregatorkorpus, da eine einzige kompromittierte LiteLLM-Instanz gleichzeitig API-Schlüssel für jeden Modell-Anbieter preisgeben kann, mit dem sie verbunden ist. Genau das macht diese Schwachstelle so wichtig, um sie schnell zu verstehen, und der Grund, warum Bedrohungsakteure sie bereits ausnutzen.

2. Der Kernfehler: Befehlsinjektion in MCP-Testendpunkten

CVE-2026-42271 hat einen CVSS-Wert von 8,7 (hoch) und ist eine Befehlsinjektionsschwachstelle in den Vorschau-Endpunkten des Model Context Protocol (MCP) Servers von LiteLLM. Zwei Endpunkte, POST /mcp-rest/test/connection und POST /mcp-rest/test/tools/list, wurden entwickelt, um Benutzern die Vorschau einer MCP-Serverkonfiguration vor dem Speichern zu ermöglichen, aber beide akzeptierten eine vollständige Serverkonfiguration im Request-Body, einschließlich Befehl, Argumenteund Umgebung vom stdio-Transport verwendete Felder.

Beim Aufruf wurde diese Eingabe als Unterprozess auf dem Proxy-Host mit den vollen Privilegien des Proxy-Prozesses und ohne jegliche Validierung oder Sandboxing gestartet. Jeder authentifizierte Benutzer, der auch nur über einen API-Schlüssel mit geringen Rechten verfügte, konnte eine speziell präparierte POST-Anfrage senden und beliebige Befehle direkt auf dem Host ausführen.

Betroffene Versionen: LiteLLM 1.74.2 bis 1.83.6.

3. Die Kette, die die Authentifizierungsanforderung aufgehoben hat

Für sich genommen erforderte CVE-2026-42271 mindestens einen gültigen API-Schlüssel, was schwerwiegend ist, aber in gut verwalteten Umgebungen durch Zugriffskontrollen eingeschränkt wird. Forscher von Horizon3.ai verknüpften sie daraufhin mit CVE-2026-48710 (CVSS 6.5), einem Umgehen der Host-Header-Validierung in Starlette, dem ASGI-Framework, von dem LiteLLM abhängt.

Starlette-Versionen bis einschließlich 1.0.0 validieren das Gastgeber Header richtig, was es einem Angreifer ermöglicht, die Authentifizierungsschicht von LiteLLM vollständig und ohne jegliche Zugangsdaten zu umgehen. In Kombination ergeben die beiden CVEs einen kritischen CVSS-10.0-Angriffspfad, der weder eine Anmeldung noch einen API-Schlüssel oder vorherigen Zugriff auf die Umgebung erfordert.

4. Was ein Angreifer erhält, sobald er drinnen ist

Eine erfolgreiche Ausnutzung verschafft einem Angreifer die Codeausführung als LiteLLM-Proxy-Prozess, und von dieser Position aus geht der potenzielle Schaden weit über den Host selbst hinaus. Ein Angreifer kann beliebige Befehle auf dem LiteLLM-Host ausführen, auf Anmeldeinformationen von Modell-Anbietern für jeden verbundenen KI-Dienst zugreifen, vom Proxy gespeicherte API-Schlüssel und Geheimnisse extrahieren, sich lateral in die verbundene KI-Infrastruktur bewegen und nachgeschaltete Systeme erreichen, die in das Gateway integriert sind.

Für Unternehmen, die produktive KI-Workloads über LiteLLM leiten, bedeutet dies, dass jeder vom Proxy gehaltene API-Schlüssel gefährdet ist, zusammen mit jeglichem internen Netzwerkzugriff, den der Proxy-Prozess besitzt. In Anbetracht dessen, wie tief die KI-Infrastruktur mittlerweile in Produktions-Pipelines integriert ist, kann dieser Zugriff weitaus wertvoller sein, als es zunächst den Anschein hat.

5. Die Zeitleiste: 50 Tage von der Offenlegung bis zur aktiven Ausnutzung

• 20. April 2026 — CVE-2026-42271 als Befehlsinjektionsfehler in LiteLLM-MCP-Testendpunkten offengelegt
• 8. Mai 2026 — LiteLLM hat in Version 1.83.7 Korrekturen veröffentlicht, die Autorisierungskontrollen und aktualisierte Starlette-Abhängigkeiten hinzufügen
• 26. Mai 2026 — Öffentliche Offenlegung von CVE-2026-48710 (“BadHost”), in der Host-Header-Bypass-Schwachstellen in Starlette-basierten Anwendungen detailliert beschrieben werden
• 1. Juni 2026 — Horizon3.ai bestätigte den verketteten, unauthentifizierten RCE-Pfad gegen betroffene Bereitstellungen
• 9. Juni 2026 — CISA hat CVE-2026-42271 zum KEV-Katalog hinzugefügt und dabei bestätigte aktive Ausnutzungen in freier Wildbahn angeführt

Der Patch für CVE-2026-42271 war ab dem 8. Mai verfügbar. Innerhalb von fünf Wochen nach Veröffentlichung dieses Patches kam es zu bestätigten Angriffen, was Teams, die ihn noch nicht eingespielt haben, ein sehr kleines Zeitfenster lässt.

6. Die Qilin-Verbindung

Der KEV-Eintrag ordnet diese Schwachstelle der Qilin-Ransomware-Gruppe zu, und der Zusammenhang ist es wert, verstanden zu werden. CybelAngel beobachtet Qilin genau, und unser vollständiges Profil der Gruppe beschreibt, wie es als ausgereifte Ransomware-as-a-Service-Plattform (RaaS) agiert, die allein im Jahr 2025 über 1.000 Opfer forderte, womit sie zu den aktivsten Gruppen auf dem Markt gehört.

Diese Woche brachte Check Point Qilin ebenfalls mit aktiven VPN-Zero-Day-Angriffe, was ein Muster der Gruppe verstärkt, ihre anfänglichen Zugriffsmethoden über traditionelles Phishing und Zugangsdatendiebstahl hinaus zu erweitern. Die gezielte Attacke auf einen KI-Gateway-Proxy passt genau in dieses Muster: Sie verschafft Qilin sofortigen Zugriff auf abrechenbare KI-API-Schlüssel und einen Pfad für die Lateralbewegung in das breitere Netzwerk, ohne dass zuerst ein Benutzerkonto kompromittiert werden muss. Sie können mehr darüber lesen, wie Qilin und ähnliche Gruppen treiben den Ransomware-Anstieg 2026 voran und welche Sektoren das größte Risiko tragen.

7. Behebung: Zwei Pakete müssen beide aktualisiert werden.

Der Fix behebt beide Komponenten der Angriffskette und ist unkompliziert anzuwenden, aber beide Teile sind erforderlich.

Sofort upgraden auf:

• LiteLLM-Version 1.83.7 oder höher
• Starlette-Version 1.0.1 oder später

Die Korrektur überprüfen durch die Bestätigung, dass POST-Anfragen an die MCP-Testendpunkte nicht mehr akzeptieren Befehl, Argumente, oder Umgebung Felder im Anfragetext.

Überprüfen Sie Ihre Protokolle auf unerwartete Kindprozesse, die vom LiteLLM-Proxy-Prozess gestartet wurden (insbesondere Shells wie sh oder Bash, Dolmetscher wie Python oder Knoten, oder Netzwerktools wie curl, wget, oder NC), ausgehende Verbindungen von Proxy-Subprozessen zu nicht vertrauenswürdigen Zielen und anomale Zugriffsmuster auf /mcp-rest/test/ Endpunkte.

Anmeldedaten rotieren als Vorsichtsmaßnahme im Proxy gespeichert, selbst wenn Sie in Ihrer Umgebung noch keine Anzeichen für eine aktive Ausnutzung gesehen haben. Wenn Ihre LiteLLM-Bereitstellung mit dem Internet verbunden und nicht gepatcht ist, ist das die erste Aufgabe für heute.

Das breitere Muster

KI-Infrastruktur ist mittlerweile Teil der Angriffsfläche, und diese Schwachstelle ist ein Beweis dafür, wie schnell dieser Wandel ausgenutzt wird. LiteLLM, MCP-Server und KI-Gateway-Proxys sind Produktionssysteme, die sensible Anmeldeinformationen enthalten, und Angreifer haben sie als hochgradig wertvolle Ziele identifiziert, die die meisten Sicherheitsteams noch nicht mit derselben Sorgfalt erfasst haben, die sie auf traditionelle Infrastrukturen anwenden.

Dies ist Teil eines umfassenderen Trends, den das REACT-Team von CybelAngel detailliert dokumentiert hat. Unser Lieferketten-Risikobericht 2026 fand heraus, dass der schnellste Weg in ein Unternehmen heute zunehmend über die Software und Dienste führt, von denen es abhängt, und KI-Werkzeuge werden schnell Teil dieser Angriffsfläche. Das Miasma-Lieferkettenangriff vom Monatsanfang ist ein weiteres Beispiel dafür, wie die Offenlegung von Anmeldedaten in der Entwicklerinfrastruktur unbemerkt bleibt, bis sie echten Schaden anrichtet.

Kartieren Sie, was Sie betreiben. Patchen Sie, was freiliegt. Wenn Sie wissen möchten, wie Ihre KI-Infrastruktur von außen aussieht.