Luka w LiteLLM przed wersją 1.84.0 pozwala z dowolnym tokenem korzystać z narzędzi MCP podłączonych do bramy AI. CISA potwierdza ataki. Zaktualizuj LiteLLM i wymień klucze do dostawców modeli.
Ten alert jest dla zarządu, CTO i CFO firm, które budują własne rozwiązania oparte na sztucznej inteligencji i kierują zapytania do modeli (OpenAI, Anthropic, Azure, Gemini) przez LiteLLM na własnych serwerach. Werdykt: jeśli macie LiteLLM starszy niż 1.84.0, zaktualizujcie go dziś (najlepiej do najnowszej wersji), a jeśli był dostępny z internetu, wymieńcie klucze do dostawców modeli.
Amerykańska agencja CISA 2 września 2026 roku dopisała CVE-2026-59822 do katalogu KEV, czyli listy podatności, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Luka jest w LiteLLM, popularnej bramie AI, która pośredniczy między aplikacjami firmy a modelami językowymi. Przed wersją 1.84.0 osoba z internetu mogła, podając dowolny zmyślony token, dostać się do narzędzi MCP podłączonych do LiteLLM, czyli do usług, z których korzystają agenci AI.
Poprawka jest dostępna od 14 maja 2026 roku, ale według firmy Wiz, która lukę odkryła, przestępcy już ją wykorzystują. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 16 września 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-59822 |
Data dodania do CISA KEV | 2026-09-02 |
Termin naprawy wg CISA | 2026-09-16 (14 dni od wpisu) |
Produkt | BerriAI LiteLLM, serwer pośredniczący (brama AI) do wywoływania API modeli językowych; podatny element: punkt końcowy MCP Streamable HTTP |
Wersje zagrożone | Wszystkie wersje przed 1.84.0. Skutki dotyczą instalacji, w których skonfigurowano narzędzia lub serwery MCP |
Wersje bezpieczne | 1.84.0 (pierwsza z poprawką, wydana 14 maja 2026). Najnowsza w dniu analizy: 1.101.0 z 15 września 2026 |
Typ podatności | Nieprawidłowe uwierzytelnianie i brak uwierzytelniania dla krytycznej funkcji; CWE-287, CWE-306 |
Ocena CVSS | GitHub (wystawca CVE): 8.8 (CVSS 4.0, WYSOKA). NVD: 8.2 (CVSS 3.1, WYSOKA). Atak przez sieć, bez konta i bez udziału użytkownika, wysoki wpływ na poufność |
Wyobraź sobie recepcję biurowca, gdzie każdy gość musi okazać identyfikator, żeby wejść do pokoju z sejfem na klucze do wszystkich kont firmy. Recepcjonista ma procedurę: jeśli identyfikator nie przejdzie sprawdzenia, zadzwoń do firmy partnerskiej i zapytaj, czy go zna. Błąd polegał na tym, że gdy ten drugi krok też nie dawał odpowiedzi, recepcjonista i tak wręczał gościowi pustą przepustkę bez żadnych ograniczeń. Wystarczyło więc przyjść z wymyślonym identyfikatorem.
LiteLLM jest takim „pokojem z sejfem” dla projektów AI: trzyma klucze do dostawców modeli i łączy agentów AI z narzędziami, np. bazami danych, repozytoriami kodu czy komunikatorami, przez protokół MCP. Luka pozwalała ominąć sprawdzenie klucza i korzystać z tych narzędzi.
💡 Brama AI (proxy) to serwer, przez który aplikacje firmy wysyłają zapytania do różnych modeli językowych, z jednym miejscem na klucze i limity. MCP (Model Context Protocol) to standard, przez który agenci AI łączą się z narzędziami i usługami. Token Bearer to ciąg znaków dołączany do zapytania zamiast loginu i hasła. LLMjacking to kradzież dostępu do płatnych modeli AI na koszt ofiary.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zapytanie z nieprawidłowym tokenem | LiteLLM odrzuca je | Zapytanie trafia do narzędzi MCP |
Lista narzędzi MCP | Widoczna tylko dla uprawnionych aplikacji | Atakujący może ją wyświetlić i wywoływać narzędzia |
Usługi podłączone przez MCP (bazy, repozytoria, komunikatory) | Dostępne dla agentów firmy | Dostępne dla atakującego w zakresie uprawnień narzędzi |
Klucze do OpenAI, Anthropic, Azure, Gemini | Bezpieczne na serwerze | Zagrożone, jeśli atakujący rozwinie dostęp |
Rachunek za modele AI | Zgodny z użyciem firmy | Może rosnąć przez cudze użycie |
źródło: magnific.comPoniżej typowy przebieg ataku oparty na obserwacjach Wiz z pułapek (honeypotów) udających infrastrukturę AI. Luka nie wymaga konta, a CISA ocenia atak jako możliwy do zautomatyzowania. Według Wiz atakujący znają budowę LiteLLM i celowo szukają w niej kluczy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukiwanie celów | T-godziny | Skanowanie internetu w poszukiwaniu serwerów LiteLLM | Lista bram AI dostępnych z internetu |
2. Sprawdzenie dostępu | T+0 min | Zapytanie z dowolnym tokenem, sprawdzenie dostępnych modeli i narzędzi | Potwierdzenie, że serwer jest podatny |
3. Użycie narzędzi MCP | T+kilka minut | Wywoływanie narzędzi podłączonych do LiteLLM | Dostęp do danych i usług za bramą |
4. Rozpoznanie | T+godziny | Sprawdzanie, którzy dostawcy modeli są podłączeni, przeszukiwanie konfiguracji | Decyzja: kradzież kluczy lub użycie cudzych limitów |
5. Kradzież kluczy | T+godziny | Wg Wiz: na przejętych serwerach wyciąganie klucza głównego i przeszukiwanie konfiguracji; w tych samych pułapkach Wiz widział też wykonanie kodu przez inną lukę, CVE-2026-42271 | Klucze do modeli AI i chmury u przestępcy |
6. Zarabianie | T+dni | LLMjacking, sprzedaż kluczy, koparki kryptowalut, dalsze ataki na usługi wewnętrzne | Rachunki, wyciek danych, dalsze włamania |
Wiz zwraca uwagę, że brama AI skupia w jednym miejscu klucze do wszystkich dostawców modeli, uprawnienia w chmurze i połączenia do usług wewnętrznych. Projekty AI często powstają szybko, jako pilotaż, i trafiają do internetu bez przeglądu bezpieczeństwa. To trzecia luka LiteLLM w katalogu KEV w 2026 roku, po CVE-2026-42208 (maj) i CVE-2026-42271 (czerwiec).
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie bramy AI, wymiana kluczy, przerwa w działaniu chatbotów i agentów | Godziny | 10 tys. do 80 tys. PLN (praca zespołu, przestój usług AI) |
Bezpieczeństwo danych | Dostęp do danych i usług podłączonych przez MCP, kradzież kluczy | Minuty do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Rachunki za cudze użycie modeli AI i chmury, koszty wymiany integracji | Dni | 20 tys. do 400 tys. PLN, zależnie od limitów u dostawców |
Reputacyjny | Utrata zaufania klientów do produktów AI firmy | Tygodnie do miesięcy | 50 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia danych osobowych do UODO w ciągu 72 godzin, jeśli narzędzia MCP miały dostęp do danych osobowych; kary RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z LiteLLM i narzędziami MCP dostępnymi z internetu
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKA
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo
Bez skonfigurowanych narzędzi MCP albo bez dostępu z internetu:
wpływ i prawdopodobieństwo wyraźnie niższe (2-3). Interpretacja: prawdopodobieństwo jest najwyższe, bo atak jest trywialny i trwa, a wpływ wysoki, ale nie maksymalny, bo według ocen CVSS luka sama w sobie dotyczy głównie poufności; rośnie do krytycznego, gdy narzędzia MCP mają szerokie uprawnienia do danych firmy.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie (także w projektach pilotażowych i u wykonawców) działa LiteLLM, w jakiej wersji i czy jest dostępny z internetu | Dziś | CTO / zespół AI |
2 | 🔴 NATYCHMIAST | Zaktualizować LiteLLM do 1.84.0 lub nowszej, najlepiej do najnowszej wersji (w dniu analizy 1.101.0), bo w 2026 roku łatano też inne wykorzystywane luki | Dziś | Zespół DevOps |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać: wyłączyć trasy MCP albo zablokować ścieżki MCP na odwrotnym proxy lub bramie API (zalecenie producenta) | Dziś | Administrator |
4 | 🟠 PILNIE | Jeśli podatna wersja była dostępna z internetu: wymienić klucz główny LiteLLM i klucze do wszystkich dostawców modeli oraz tokeny narzędzi MCP | Do 3 dni | Zespół DevOps |
5 | 🟠 PILNIE | Sprawdzić rachunki i logi użycia u dostawców modeli (OpenAI, Anthropic, Azure, Gemini) pod kątem nietypowego zużycia | Do 3 dni | CFO / zespół AI |
6 | 🟠 PILNIE | Przejrzeć logi LiteLLM i usług podłączonych przez MCP pod kątem wywołań z nieznanych adresów | Do 3 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Wprowadzić inwentaryzację narzędzi AI i zasadę, że nie trafiają do internetu bez uwierzytelniania i przeglądu | Do 30 dni | CTO |
Producent wydał poprawkę w wersji 1.84.0, więc aktualizacja jest dostępna. Na czas jej przygotowania producent wskazuje obejście: wyłączenie tras MCP lub blokadę ścieżek MCP. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie tras MCP w LiteLLM (zalecenie producenta) | Wysoka wobec tej luki | Łatwa, ale wyłącza funkcje agentów korzystających z MCP |
Blokada ścieżek MCP na odwrotnym proxy lub bramie API (zalecenie producenta) | Wysoka wobec tej luki | Łatwa dla administratora |
Udostępnienie LiteLLM tylko w sieci wewnętrznej lub przez VPN | Wysoka | Średnia |
Limity wydatków i alerty u dostawców modeli AI | Niska jako ochrona, ogranicza straty finansowe | Łatwa |
Zawężenie uprawnień narzędzi MCP do minimum | Średnia: ogranicza skutki | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja LiteLLM | Starsza niż 1.84.0 | 1.84.0 lub nowsza, najlepiej najnowsza |
Dostęp do narzędzi MCP | Możliwy z dowolnym tokenem | Tylko z ważnym kluczem LiteLLM |
Klucze do dostawców modeli | Mogły zostać skradzione | Wymienione, stare unieważnione |
Rachunki za AI | Bez kontroli | Limity wydatków i alerty |
Ekspozycja w internecie | Brama AI dostępna dla każdego | Dostęp tylko z sieci firmowej lub przez VPN |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA w ocenie SSVC: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny częściowy. Wiz obserwował wykorzystanie w swoich pułapkach |
Grupy przestępcze | Brak publicznych informacji o nazwach grup. Wiz opisuje kampanie nastawione na kradzież kluczy AI, LLMjacking i koparki kryptowalut |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg GitHub (CVSS 4.0); 8.2 WYSOKA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak potwierdzenia osobnego exploita, ale opis w biuletynie i raporcie Wiz pokazuje, że atak jest bardzo prosty |
Liczba atakowanych firm | Brak publicznych danych. Wiz: 90% środowisk chmurowych uruchamia samodzielnie hostowane oprogramowanie AI |
Znaczenie | Według AI Weekly pierwsza luka w implementacji protokołu MCP w katalogu KEV |
Sygnały zagrożenia dla CVE-2026-59822
CVSS 4.0 (GitHub) 8.8/10 ██████████████████░░ WYSOKA
CVSS 3.1 (NVD) 8.2/10 ████████████████░░░░ WYSOKA
CISA KEV TAK ████████████████████ wykorzystanie potwierdzone
Luki LiteLLM w KEV 3 ████████████████████ maj, czerwiec, wrzesień 2026
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-05-08 CVE-2026-42208 (inna luka LiteLLM) w katalogu CISA KEV
2026-05-14 Wydanie LiteLLM v1.84.0 z poprawką
2026-06-08 CVE-2026-42271 (inna luka LiteLLM) w katalogu CISA KEV
2026-06-30 Biuletyn producenta GHSA-7488-6r32-c95q
2026-07-08 Publikacja CVE-2026-59822
2026-07-22 Biuletyn w globalnej bazie GitHub Advisory Database
2026-08-27 Wiz opisuje ataki na infrastrukturę AI, w tym tę lukę
2026-09-02 Wpis do katalogu CISA KEV
2026-09-15 Najnowsze wydanie LiteLLM v1.101.0
2026-09-16 Termin naprawy wg CISA dla agencji federalnych
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z obejściem: GHSA-7488-6r32-c95q . Wydanie z poprawką: LiteLLM v1.84.0 . Raport o atakach: Wiz Research . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-59822 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, gdzie w firmie działa LiteLLM, także w pilotażach i u wykonawców | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację lub wyłączenie tras MCP | CTO | DZISIAJ |
3 | Zlecić wymianę kluczy do dostawców modeli, jeśli brama była dostępna z internetu | CTO | DZISIAJ |
4 | Sprawdzić faktury i panele zużycia u dostawców modeli AI od maja 2026 roku | CFO | DO JUTRA |
5 | Ustawić limity wydatków i alerty na kontach dostawców AI | CFO | DO JUTRA |
6 | Otrzymać listę usług i danych dostępnych dla narzędzi MCP | CTO | DO JUTRA |
7 | Wpisać narzędzia AI do rejestru systemów z właścicielem i harmonogramem aktualizacji | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy LiteLLM na własnych serwerach lub w chmurze? | TAK / NIE, [lista instancji] | 🔴 |
2 | Jaką wersję LiteLLM mamy na każdej instancji? | [wersja] | 🔴 |
3 | Czy LiteLLM jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy mamy skonfigurowane narzędzia lub serwery MCP i do czego mają dostęp? | TAK / NIE, [lista usług] | 🔴 |
5 | Kiedy wymieniliśmy klucz główny LiteLLM i klucze do dostawców modeli? | [data] | 🟠 |
6 | Czy zużycie modeli AI w ostatnich miesiącach było zgodne z naszym użyciem? | TAK / NIE | 🟠 |
7 | Kto odpowiada za aktualizacje narzędzi AI i jak szybko je wdrażamy? | [osoba], [liczba dni] | 🟡 |
CVE-2026-59822 pozwalała bez ważnego klucza korzystać z narzędzi MCP podłączonych do bramy AI LiteLLM, a CISA i Wiz potwierdzają, że przestępcy celowo atakują takie instalacje, by kraść klucze do modeli i dostęp do usług firmy. Poprawka istnieje od maja 2026 roku w wersji 1.84.0, ale firmy, których brama była dostępna z internetu, powinny po aktualizacji wymienić klucze i sprawdzić rachunki za AI.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.