Cos'è successo

LiteLLM è un gateway open source molto usato per instradare le chiamate verso diversi provider di modelli linguistici (OpenAI, Anthropic, Google e altri) dietro un'unica interfaccia compatibile con le API OpenAI. Una vulnerabilità di command injection, identificata come CVE-2026-42271 (punteggio CVSS 8,7), permette a un utente già autenticato di eseguire comandi arbitrari sul server che ospita il gateway.

Come funziona l'attacco

Il problema riguarda gli endpoint /mcp-rest/test/connection e /mcp-rest/test/tools/list, pensati per testare connessioni verso server MCP (Model Context Protocol). Questi endpoint accettano una configurazione che include i campi command, args ed env, usati dal trasporto stdio. Quando arriva una richiesta con questa configurazione, LiteLLM avvia il comando indicato come sottoprocesso sul server: il processo creato eredita gli stessi privilegi del gateway in esecuzione. Sono interessate le versioni dalla 1.74.2 alla 1.83.6 incluse.

L'escalation a RCE non autenticata

Da sola, la falla richiede un account valido. Il salto di qualità arriva dalla combinazione con CVE-2026-48710, un bypass nella validazione dell'header Host di Starlette (il framework alla base di LiteLLM) nelle versioni fino alla 1.0.0. Concatenando le due vulnerabilità, un attaccante riesce a eludere i controlli di autenticazione e a ottenere esecuzione di codice da remoto senza alcuna credenziale.

Sfruttamento attivo e collegamento a Qilin

Il 9 giugno 2026 CISA ha inserito CVE-2026-42271 nel catalogo KEV (Known Exploited Vulnerabilities), confermando lo sfruttamento attivo in rete. L'attribuzione, con confidenza media, collega le intrusioni al gruppo ransomware Qilin, già protagonista in questo periodo dello sfruttamento di altre falle critiche come quella nelle VPN Check Point.

Cosa fare

Chi utilizza LiteLLM dovrebbe aggiornare alla versione 1.83.7 o successiva e Starlette alla 1.0.1 o successiva. L'episodio conferma una tendenza più ampia: i componenti di infrastruttura per l'intelligenza artificiale, spesso esposti direttamente su Internet per integrarsi con altri sistemi aziendali, stanno diventando un punto di ingresso sempre più appetibile per i gruppi ransomware.