CVE-2026-42208: SQL injection critica in LiteLLM, già nel catalogo CISA KEV

CVE-2026-42208: SQL injection critica in LiteLLM, già nel catalogo CISA KEV

In breve

È stata confermata una vulnerabilità critica di SQL injection (CVE-2026-42208, CVSS 9.3) in LiteLLM, un proxy molto usato dalle aziende per centralizzare e gestire l'accesso a diversi modelli di IA (OpenAI e compatibili) [1]. La vulnerabilità è inclusa nel catalogo CISA KEV, il che conferma che è già attivamente sfruttata su internet [2]. Se la tua azienda usa LiteLLM come porta d'accesso ai servizi di IA, la priorità oggi è verificare la versione installata e aggiornare quanto prima.

Cos'è e perché è importante

LiteLLM funge da intermediario tra le tue applicazioni e i fornitori di modelli linguistici: centralizza le chiavi API, permette di verificare l'utilizzo e facilita il cambio di fornitore senza dover modificare il codice di ogni applicazione. Proprio per questa posizione centrale, un difetto nella sua sicurezza può compromettere tutto ciò che vi sta dietro: credenziali, cronologie di utilizzo e, potenzialmente, dati aziendali che transitano attraverso quel proxy.

Secondo la descrizione ufficiale della vulnerabilità, tra le versioni 1.81.16 e precedenti alla 1.83.7, una query al database usata per verificare le chiavi API del proxy inseriva il valore inviato dal chiamante direttamente nel testo della query, invece di trattarlo come un parametro separato [1]. Questo apre la porta a una SQL injection classica: un attaccante, senza bisogno di autenticarsi, può inviare un'intestazione di autorizzazione appositamente manipolata a qualsiasi endpoint dell'API (ad esempio, quello usato per le richieste di chat) e raggiungere quella query vulnerabile attraverso la gestione degli errori del proxy [1]. Il risultato potenziale è la lettura e possibile modifica dei dati del database del proxy, il che può portare ad accesso non autorizzato al sistema stesso e alle credenziali che gestisce [1].

Si tratta di una vulnerabilità critica (severità "critical" secondo NVD, CVSS 9.3) [1], pubblicata l'8 maggio 2026 [1], e figura già nel catalogo delle vulnerabilità sfruttate note (KEV) di CISA, il che indica uno sfruttamento attivo confermato, non solo un rischio teorico [2].

Chi è interessato

Riguarda le organizzazioni che implementano LiteLLM come proxy o gateway di IA (AI Gateway) in versioni comprese tra la 1.81.16 e precedenti alla 1.83.7 [1]. Il vendor identificato è LiteLLM [1]. Se la tua azienda ha adottato strumenti di IA generativa tramite un proprio livello di proxy gestito da team interni o fornitori esterni, conviene verificare se LiteLLM fa parte di quell'architettura, sia direttamente sia come componente integrato in un'altra soluzione.

Come sapere se sei vulnerabile

• Identifica se LiteLLM è distribuito nella tua infrastruttura (interna, nel cloud o come parte di un prodotto di terze parti) e quale versione esatta esegue.
• Verifica se quella versione rientra nell'intervallo interessato (1.81.16 fino a precedenti alla 1.83.7) [1].
• Controlla quale superficie di questo proxy è esposta a internet o accessibile da reti poco controllate: quanto più esposto è un endpoint dell'API, tanto maggiore è il rischio che venga raggiunto da un tentativo di sfruttamento come quello descritto. Da OCIRIA raccomandiamo di rivedere periodicamente quali servizi e porte relativi alla vostra infrastruttura di IA sono visibili dall'esterno, un aspetto che spesso passa inosservato quando questi strumenti vengono distribuiti rapidamente per accelerare progetti interni.
• Controlla i log del proxy alla ricerca di intestazioni di autorizzazione anomale o pattern insoliti di errori negli endpoint dell'API, che potrebbero indicare tentativi di sfruttamento.

Come proteggersi

1. Aggiorna LiteLLM alla versione 1.83.7 o successiva, dove il difetto è stato corretto [1].

2. Se non puoi aggiornare immediatamente, limita l'accesso all'API del proxy solo a reti e client di fiducia mentre applichi la patch.

3. Ruota le credenziali e le chiavi gestite dal proxy dopo l'aggiornamento, specialmente se c'è stata esposizione a internet durante il periodo di rischio.

4. Rafforza il logging e il monitoraggio degli endpoint dell'API del proxy per rilevare tentativi di sfruttamento passati o futuri.

5. Documenta l'inventario degli strumenti di IA e delle loro versioni come parte della gestione ordinaria delle vulnerabilità, per reagire più rapidamente al prossimo avviso simile.

Domande frequenti

È una vulnerabilità grave? Sì, ha severità critica con CVSS 9.3 secondo NVD ed è già registrata come attivamente sfruttata nel catalogo CISA KEV [1][2].

Devo essere autenticato per essere interessato? No, secondo la descrizione ufficiale un attaccante non autenticato può tentare lo sfruttamento tramite un'intestazione manipolata [1].

Basta aggiornare LiteLLM? È il passo imprescindibile, poiché la versione 1.83.7 corregge il difetto [1]; combinalo con la rotazione delle credenziali e la revisione dell'esposizione per ridurre il rischio residuo.

Come faccio a sapere se la mia azienda usa LiteLLM senza saperlo? È comune che questi componenti vengano integrati all'interno di altre soluzioni di IA. Rivedere l'inventario tecnico e la superficie esposta è il modo più affidabile per fugare ogni dubbio.

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-42208
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json