LiteLLM: MCP-Auth-Bypass wird aktiv ausgenutzt, Update auf 1.84.0 nötig

CISA nimmt MCP-Auth-Bypass in LiteLLM in den KEV-Katalog auf

Die US-Behörde CISA hat am 2. September 2026 die Schwachstelle CVE-2026-59822 in LiteLLM in ihren Katalog bekannt ausgenutzter Lücken (KEV) aufgenommen. Es ist die erste MCP-bezogene Lücke dort. Laut Eintrag stammt die Meldung der Ausnutzung von einem vertrauenswürdigen Dritten. Einen CVSS-Wert von 8.8 nennt ein Medienbericht. Behoben ist der Fehler in Version 1.84.0; betroffen sind alle früheren Versionen. LiteLLM ist ein Open-Source-Proxy, der Anfragen zwischen LLM-Anbietern wie OpenAI, Anthropic und Cohere übersetzt.

Der Fehler sitzt im MCP-Streamable-HTTP-Endpunkt. Dessen Authentifizierung kennt einen OAuth2-Passthrough für vorgelagerte MCP-Server. Scheitert die Prüfung des LiteLLM-Keys, springt ein Fallback ein. Er lehnt die Anfrage nicht ab, sondern setzt ein leeres UserAPIKeyAuth()-Objekt ein. Ein gefälschter Bearer-Header reicht damit aus, um die MCP-Tools ohne gültigen Key zu erreichen.

Wiz: 9,6 Prozent von 3.074 öffentlichen Instanzen ohne wirksamen Schutz

Das Sicherheitsunternehmen Wiz hat öffentlich erreichbare LiteLLM-Instanzen gescannt. Von 3.074 Instanzen akzeptierten 9,6 Prozent den Default-Master-Key sk-1234 oder verlangten gar keine Authentifizierung. Auf diesen Instanzen ist laut Wiz Remote Code Execution praktisch ohne Anmeldung möglich. Wiz bestätigt außerdem, dass sich CVE-2026-59822 über Hunderte internetexponierte Instanzen ausnutzen lässt.

Wiz nennt zudem einen Admin-Zugriff ohne Authentifizierung in der Standardkonfiguration. Dafür wurde keine CVE-Nummer vergeben. Behoben wurde er zusammen mit CVE-2026-59821. Zu dieser CVE liegen im vorliegenden Material keine Details vor.

Weitere belegte Lücken: SQL-Injection, Credential-Abfluss, Code-Ausführung

Unabhängig vom Auth-Bypass sind weitere Lücken belegt. CVE-2026-42208 ist eine Pre-Auth-SQL-Injection über den Bearer-Header. Sie betrifft die Versionen ab 1.81.16 bis vor 1.83.7 und steht seit dem 8. Mai 2026 im KEV-Katalog. Laut MISP-Galaxy-Eintrag wurde sie rund 26 Stunden nach dem Advisory ausgenutzt. Angreifer können Datenbanktabellen lesen oder ändern, in denen Provider-Keys liegen. Das Etikett „Critical“ gilt für diese Lücke, nicht pauschal für den Auth-Bypass mit CVSS 8.8.

Ein Advisory beschreibt außerdem Folgendes: Authentifizierte Nutzer konnten Provider-Aufrufe auf ein selbst gewähltes Ziel umleiten. Der Proxy schickte dann seine eigenen Zugangsdaten dorthin, weil die Request-Validierung nur auf einer Denylist beruhte. Custom Code Guardrails ermöglichten Codeausführung im Proxy-Container. Behoben ist das in 1.82.0-stable.

Davon getrennt steht der Supply-Chain-Vorfall. Die PyPI-Pakete litellm 1.82.7 und 1.82.8 waren am 24. März 2026 rund 40 Minuten online.

Was Betreiber jetzt tun sollten und warum eine genannte Fixversion nicht belegt ist

Betreiber sollten mindestens auf 1.84.0 aktualisieren. Version 1.83.7 schließt nur die SQL-Injection, nicht den MCP-Bypass. Außerdem muss ein Master-Key gesetzt und der Default-Key sk-1234 ersetzt werden. Wer eine Instanz öffentlich betrieben hat, sollte Provider-Keys und Datenbankinhalte auf möglichen Abfluss prüfen. Für KEV-Einträge gilt für US-Bundesbehörden die Frist nach BOD 22-01. Sie beträgt üblicherweise zwei bis drei Wochen.

Ein Bericht (TechRadar) über vier Funde von Lasso Security nennt eine Fixversion, die weit unter den belegten Fixes liegt. Diese Versionsnummer taucht in keiner der vorliegenden Quellen auf, sie bleibt deshalb hier unberücksichtigt. Belegt sind die Fixes in 1.82.0-stable, 1.83.7 und 1.84.0; die aktuelle Linie ist v1.107.0-dev.1. Ob die vier Lasso-Security-Funde zu den hier genannten CVEs gehören, geht aus dem Material nicht hervor. Wer frühzeitig gewarnt werden will, kann die Security-Announcements-Mailingliste abonnieren. Bei schweren Lücken gibt sie nach Möglichkeit einen Vorlauf von ein bis zwei Tagen.