LiteLLM au catalogue KEV de la CISA : troisième faille exploitée en quatre mois

Le 2 septembre, la Cybersecurity and Infrastructure Security Agency (CISA) a inscrit CVE-2026-59822 à son catalogue des failles activement exploitées, le catalogue KEV : un contournement d'authentification dans le module MCP de LiteLLM, la passerelle open source éditée par BerriAI qui route les appels vers les grands modèles. Les agences fédérales américaines qui l'exploitent ont jusqu'au 16 septembre pour appliquer le correctif. Le média français ActuIA a consacré le 7 septembre une analyse à cette inscription, la troisième en quatre mois pour ce proxy.

L'affaire dépasse un seul projet. LiteLLM sert de point de passage unique entre une application et les API des grands fournisseurs de modèles, au format OpenAI ou natif, avec les clés correspondantes centralisées au même endroit. C'est précisément ce qui en fait une cible : le cabinet Wiz résume le problème en une formule, la « concentration d'identifiants ». Une passerelle compromise, ce sont toutes les clés qu'elle route qui deviennent accessibles, et parfois les services internes connectés derrière.

Une faille corrigée depuis mai, une inscription en septembre

La faille touche le point de terminaison MCP « Streamable HTTP » de LiteLLM. D'après l'avis de sécurité GitHub, quand la validation d'une clé LiteLLM échouait, le traitement d'authentification MCP basculait sur un chemin de repli prévu pour le passage OAuth2, et remplaçait le refus par un objet d'authentification vide. Une requête forgée avec un en-tête d'autorisation quelconque atteignait alors les outils MCP sans clé valide. L'attaquant pouvait ensuite lister et appeler les outils MCP configurés, donc accéder aux services connectés derrière.

La trajectoire du correctif est documentée dans le dépôt du projet : un PR de resserrement de la détection des routes publiques et du filtrage du repli OAuth2 (n° 26463) ouvert le 25 avril, fusionné le 30 avril, puis la publication de la version 1.84.0 le 14 mai. L'avis GitHub (GHSA-7488-6r32-c95q) est daté du 30 juin, la fiche NVD du 8 juillet, mise à jour le 3 septembre.

Ce que les honeypots de Wiz ont vu

Une semaine avant l'inscription au KEV, le 27 août, Wiz avait publié la télémétrie de 90 jours de ses honeypots, des leurres déployés pour ressembler à des briques d'infrastructure IA (LiteLLM, Flowise, LangChain, Langflow, ChromaDB, Ollama notamment). Leur constat : l'exploitation de la faille n'est pas théorique, elle a visé leurs propres serveurs leurre.

Les chercheurs décrivent des signatures simples : des requêtes portant un jeton d'un seul caractère, envoyées aux points d'énumération des modèles, pour sonder une instance vulnérable. Une fois entrés, les attaquants ne cherchent pas des fichiers d'identifiants sur le disque. Ils interrogent l'état des modules Python du processus en cours pour extraire la clé maîtresse de la mémoire, énumèrent les fichiers de configuration, puis identifient les modèles disponibles derrière le proxy avant de décider quoi en faire.

Le même rapport documente l'exploitation de CVE-2026-42271, une injection de commande dans les points de test des serveurs MCP, corrigée elle aussi en 1.83.7 et entrée au KEV le 8 juin : elle a servi à déployer des mineurs de cryptomonnaie. Wiz rapporte enfin que des chercheurs externes ont relié le groupe de rançongiciel Qilin à l'exploitation d'une chaîne combinant cette faille et un contournement voisin du framework Starlette (CVE-2026-48710), inscrit au KEV le même jour que la faille LiteLLM.

Le 16 septembre, échéance pour les agences fédérales

Le catalogue KEV recense les failles pour lesquelles la CISA dispose de preuves d'exploitation réelle. Son inscription déclenche des obligations : d'après l'entrée officielle, appliquer les atténuations selon les instructions de l'éditeur dans le cadre de la directive BOD 26-04, ou cesser d'utiliser le produit si aucune atténuation n'existe, avec une échéance fixée au 16 septembre 2026.

LiteLLM n'arrive pas seul : les sept entrées du 2 septembre touchent aussi Starlette, Kestra, Artifactory, Switchvox et deux modèles SonicWall SMA1000. The Hacker News rapporte, sources Horizon3.ai et watchTowr à l'appui, que plusieurs sont déjà armées pour déployer des shells inversés, fabriquer des jetons d'administration et collecter des identifiants.

Trois entrées LiteLLM au KEV en quatre mois

La séquence est déjà éprouvée. CVE-2026-42208, une injection SQL dans la vérification des clés du proxy, est entrée au KEV le 8 mai. CVE-2026-42271, l'injection de commande, le 8 juin. Les deux étaient corrigées en 1.83.7. D'après le flux officiel de la CISA, dix failles de briques d'infrastructure IA open source ont intégré le catalogue depuis fin mars.

Cinq Langflow, trois LiteLLM, un Ray, un MLflow : le pattern n'est pas un éditeur négligent, c'est une couche technique devenue cible. Les honeypots de Wiz montrent des attaquants qui adaptent leurs outils aux internes de chaque brique, d'un framework d'agents à un proxy d'inférence.

Vous auto-hébergez une passerelle LLM : les vérifications qui comptent

La première vérification tient en une ligne : la version déployée doit être 1.84.0 ou ultérieure. Si la mise à jour n'est pas immédiatement possible, l'avis GitHub décrit une atténuation : désactiver les routes MCP, ou bloquer l'accès à `/mcp/` et aux points d'extrémité MCP associés au niveau du reverse proxy ou de la passerelle API. Les instances exposées à internet restent les plus visées, comme le montrent les leurres de Wiz.

Le dossier pose aussi une question de modèle. Une passerelle auto-hébergée donne le contrôle, mais lui transfère toute la charge des correctifs : c'est votre clé maîtresse en mémoire, votre version à maintenir. Un service managé comme OpenRouter inverse l'équation, la maintenance de la passerelle appartient à l'hébergeur, au prix d'une dépendance et d'une exposition des flux à un tiers, avec les effets d'aubaine qu'une panne simultanée des grands fournisseurs avait déjà exposés. Les deux approches se défendent ; ce qui ne se défend pas, c'est un proxy vulnérable exposé, tenu par personne.

L'infrastructure IA open source est devenue une surface d'attaque à part entière, avec ses dix entrées KEV depuis fin mars et une télémétrie d'attaques qui documente des méthodes adaptées à chaque outil. La question pour une équipe qui route ses appels LLM n'est plus de savoir si cette couche est une cible. Elle est de savoir quelle version tourne, et qui est responsable de la faire évoluer.