Du leitest deine KI-Anfragen über einen selbst gehosteten LiteLLM-Proxy? Dann ist heute Schluss mit Aufschieben: Die US-Cybersicherheitsbehörde CISA hat die Lücke CVE-2026-42271 in ihren Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen. Im Klartext: Angreifer nutzen das Loch JETZT, in echten Angriffen.
SCHOCK: Vom KI-Gateway zur offenen Kommandozeile
LiteLLM ist das Schweizer Taschenmesser vieler Self-Hosting-Setups: Ein Proxy, der OpenAI, Anthropic, Ollama und Dutzende andere Modelle hinter einer API bündelt. Genau diese zentrale Rolle macht ihn zum Hochwert-Ziel. Die Lücke steckt in den Test-Endpunkten der MCP-Server-Funktion: Darüber lassen sich Befehle einschleusen — eine klassische Command Injection mit CVSS 8,8.
GEFAHR! Die Kombi-Lücke macht daraus eine glatte 10,0
Richtig übel wird es durch die Forschung von Horizon3.ai: Kombiniert man die Command Injection mit CVE-2026-48710 — einem „BadHost“-Bypass im Python-Framework Starlette — fällt sogar die Anmeldung weg. Das Ergebnis ist unauthentifizierte Remote Code Execution, bewertet mit dem Maximalwert CVSS 10,0. Ein Angreifer kann dann:
- beliebige Befehle auf deinem LiteLLM-Host ausführen,
- alle hinterlegten API-Keys für OpenAI, Anthropic & Co. abgreifen,
- sich seitlich in deine restliche KI-Infrastruktur bewegen.
Das ist der Albtraum schlechthin: Dein Gateway kennt JEDEN Schlüssel deines KI-Stacks.
So dichtest du dein Gateway in 5 MINUTEN ab
- Update: LiteLLM 1.83.7 oder neuer installieren — der Fix beschränkt die Test-Endpunkte auf die Rolle PROXY_ADMIN und aktualisiert Starlette gleich mit.
- Keys rotieren: Wenn deine Instanz öffentlich erreichbar war, behandle ALLE hinterlegten Provider-Keys als kompromittiert und tausche sie aus.
- Exponierung prüfen: Muss der Proxy wirklich im offenen Internet stehen? Hinter VPN, Tailscale oder zumindest eine IP-Allowlist damit.
- Logs checken: Auffällige Aufrufe der MCP-Test-Endpunkte in den Proxy-Logs sind ein Alarmsignal.
US-Bundesbehörden haben von der CISA übrigens eine knallharte Deadline bekommen: Bis zum 22. Juni muss die Lücke geschlossen sein. Nimm dir das ruhig als persönliche Frist.
FAZIT: Self-Hosted heißt selbst verantwortlich
Schon im April hatte LiteLLM mit einer SQL-Injection zu kämpfen, die binnen 36 Stunden ausgenutzt wurde — wir hatten berichtet. Das Muster ist klar: KI-Infrastruktur ist 2026 ein Primärziel. Wer Gateways selbst hostet, muss sie wie ein Stück kritische Infrastruktur pflegen — Updates am Releasetag, nicht am Wochenende danach.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob meine Instanz schon angegriffen wurde?
Reicht das Update oder muss ich mehr tun?
Was ist die CISA-KEV-Liste überhaupt?
Quellen: Help Net Security · SOCRadar · LiteLLM-Blog