CVE-2026-42271: esecuzione remota di comandi in LiteLLM, già sfruttata attivamente

CVE-2026-42271: esecuzione remota di comandi in LiteLLM, già sfruttata attivamente

In breve

CVE-2026-42271 è una vulnerabilità di command injection in LiteLLM, un server proxy (AI Gateway) che molte aziende usano per centralizzare l'accesso a modelli linguistici in stile OpenAI. Colpisce le versioni dalla 1.74.2 fino alle precedenti la 1.83.7 [1]. Ha un punteggio CVSS di 8.7, gravità "alta" secondo NVD [1], ed è presente nel catalogo delle vulnerabilità sfruttate attivamente (KEV) di CISA [2]. Se la tua organizzazione usa LiteLLM come gateway verso i provider di IA, la priorità di oggi è aggiornare alla versione 1.83.7 o successiva e verificare chi dispone di chiavi API attive.

Cos'è e perché è importante

LiteLLM offre due endpoint —POST /mcp-rest/test/connection e POST /mcp-rest/test/tools/list— pensati per testare la configurazione di un server MCP prima di salvarla. Il problema è che entrambi accettavano la configurazione completa nella richiesta, inclusi i campi command, args e env usati dal trasporto "stdio". Alla ricezione di una configurazione di questo tipo, l'endpoint tentava di connettersi eseguendo quel comando come sottoprocesso sull'host stesso del proxy, con i privilegi del processo di LiteLLM [1].

Il difetto grave riguarda il controllo degli accessi: questi endpoint verificavano solo che la richiesta contenesse una chiave API valida del proxy, senza controllare il ruolo dell'utente. In altre parole, qualsiasi utente autenticato —comprese le persone che dispongono solo di chiavi interne a basso privilegio— poteva eseguire comandi arbitrari sul server [1]. Il produttore ha già pubblicato una patch nella versione 1.83.7 [1]. Il fatto che la vulnerabilità figuri nel catalogo KEV di CISA indica che non si tratta solo di un rischio teorico: risulta documentato uno sfruttamento attivo nel mondo reale [2], il che aumenta l'urgenza ben oltre quanto suggerirebbe il solo punteggio CVSS.

Chi è interessato

Colpisce direttamente le organizzazioni che gestiscono un'istanza di LiteLLM come proxy/gateway IA nelle versioni dalla 1.74.2 alle precedenti la 1.83.7 [1]. La scheda NVD associa la CVE anche al vendor "Red Hat" in modo generico, senza specificare un prodotto o un avviso di sicurezza concreto; in assenza di ulteriori dettagli, non è possibile confermare l'esistenza di un prodotto Red Hat specifico esposto da questa vulnerabilità [1]. Il focus pratico di questo avviso resta LiteLLM.

Come sapere se sei vulnerabile

Verifica quale versione di LiteLLM hai distribuito e se rientra nell'intervallo interessato (dalla 1.74.2 alle precedenti la 1.83.7) [1]. Controlla anche se il pannello di amministrazione o gli endpoint /mcp-rest/test/connection e /mcp-rest/test/tools/list sono accessibili dall'esterno della tua rete interna, poiché qualsiasi riduzione di questa superficie esposta riduce il rischio reale di sfruttamento, anche se non sostituisce l'aggiornamento. Il nostro radar di intelligence classifica questa vulnerabilità come critica nella pratica —al di sopra dell'etichetta "alta" di NVD— proprio perché combina una bassa barriera d'ingresso (basta una chiave a basso privilegio) con l'esecuzione di comandi sull'host e uno sfruttamento già confermato.

Come proteggersi

• Aggiorna LiteLLM alla versione 1.83.7 o superiore il prima possibile [1].
• Ruota tutte le chiavi API del proxy dopo l'aggiornamento, in particolare quelle degli utenti interni a basso privilegio.
• Controlla i log dell'host alla ricerca di sottoprocessi o comandi eseguiti in modo insolito dal processo di LiteLLM nelle ultime settimane.
• Limita l'accesso di rete agli endpoint di amministrazione/test di LiteLLM alle reti interne fidate.
• Applica il principio del minimo privilegio alle chiavi API: non tutti gli utenti hanno bisogno di poter creare o testare configurazioni di server MCP.

Domande frequenti

Questa vulnerabilità è critica anche se NVD la classifica come "alta"?

NVD le assegna un punteggio di 8.7 (alta) [1], ma è presente nel catalogo CISA KEV degli exploit attivi [2], e il nostro radar la valuta come critica per la facilità di sfruttamento con privilegi minimi.

Riguarda Red Hat?

NVD include "Red Hat" come vendor associato a questa CVE, ma senza specificare un prodotto o un avviso concreto [1]; con le informazioni disponibili non è possibile confermare un'esposizione specifica dei prodotti Red Hat.

Basta limitare l'accesso di rete al proxy?

Riduce il rischio, ma non sostituisce l'applicazione della patch: la vulnerabilità viene sfruttata con una chiave API valida, non solo dall'esterno della rete [1].

Come faccio a sapere se sono già stato colpito?

Controlla i log dell'host su cui gira LiteLLM alla ricerca di processi figli inattesi avviati dal servizio, e verifica la versione installata rispetto all'intervallo interessato [1].

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-42271
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json