Pesquisadores divulgaram três vulnerabilidades no LiteLLM, gateway de código aberto usado para centralizar o acesso a modelos de linguagem em ambientes corporativos. Exploradas em conjunto, elas permitem executar comandos como root e roubar credenciais de nuvem.
A CVE-2026-59821 está no recurso de guardrails personalizados. O endpoint de registro não aplicava as validações presentes na interface de teste, o que permitia executar código Python arbitrário com privilégios de root dentro do contêiner. A falha foi corrigida na versão 1.82.0.
A CVE-2026-59822 permite contornar por completo a autenticação do MCP. Um bearer token mínimo, com um único caractere, era suficiente para abrir uma sessão válida com o servidor conectado. A correção está na versão 1.84.0.
A terceira falha, CVE-2026-35029, afeta a rota de configuração de endpoints pass-through, que não verificava privilégio administrativo antes de aceitar alterações. O problema foi resolvido na versão 1.83.0.
A Wiz varreu 3.074 instâncias expostas à internet e encontrou 294 vulneráveis, o equivalente a 9,6% do total. Todas aceitavam a credencial padrão sk-1234 ou estavam com a autenticação desabilitada. O bypass do MCP já foi observado em honeypots.
Com esse acesso, o invasor alcança credenciais de provedores de IA, chaves de nuvem e tokens temporários do AWS IAM obtidos pelos metadados da instância. A partir daí pode chegar a bancos de dados, repositórios e fluxos de trabalho conectados ao gateway.
A CVE-2026-59822 entrou no catálogo de vulnerabilidades exploradas da CISA em 2 de setembro. As recomendações incluem trocar a chave mestra padrão, retirar as interfaces de gerenciamento da internet, restringir o tráfego de saída dos contêineres e rotacionar credenciais.
