Una vulnerabilidad crítica de inyección SQL previa a la autenticación en LiteLLM, una pasarela de IA de código abierto ampliamente utilizada con más de 22.000 estrellas en GitHub, está siendo explotada activamente en la naturaleza.

Registrada como CVE-2026-42208, esta grave falla permite a atacantes no autorizados extraer credenciales altamente sensibles de proveedores de nube y IA directamente desde la base de datos PostgreSQL de la plataforma.

LiteLLM actúa como un proxy central para modelos de lenguaje importantes como OpenAI, Anthropic y AWS Bedrock.

Dado que gestiona el enrutamiento y la facturación de IA, la aplicación almacena secretos de alto valor, incluidas claves API maestras y credenciales empresariales en la nube.

Explotación rápida y robo de datos dirigido

El radio de impacto de una brecha exitosa se acerca más al de un compromiso masivo de cuentas en la nube que al de un ataque típico a una aplicación web.

La vulnerabilidad existe dentro del proceso de verificación del proxy. Específicamente, LiteLLM no protege de forma segura el encabezado Authorization Bearer.

Al insertar una comilla simple en un token falso como sk-litellm', un atacante puede salir de la consulta prevista y ejecutar comandos maliciosos en la base de datos antes incluso de que se produzca la autenticación.

Cualquier cliente HTTP que pueda alcanzar el puerto del proxy puede ejecutar el exploit.

El Equipo de Investigación de Amenazas de Sysdig detectó el primer intento de explotación solo 36 horas y siete minutos después de que la vulnerabilidad fuera indexada en la base de datos global de GitHub Advisory el 24 de abril de 2026.

En lugar de utilizar escáneres de vulnerabilidades ruidosos y automatizados, los atacantes demostraron un conocimiento avanzado de la estructura interna de LiteLLM.

Los actores de amenazas lanzaron ataques dirigidos contra tres tablas: LiteLLM_VerificationToken, litellm_credentials y litellm_config.

Estas tablas almacenan los datos más críticos del sistema, incluidas claves API virtuales, credenciales de proveedores almacenadas y configuraciones de entorno.

Los operadores incluso adaptaron sus cargas útiles para que coincidieran exactamente con el caso del esquema de la base de datos.

Esta actividad altamente dirigida se originó desde dos direcciones IP (65.111.27.132 y 65.111.25.67) dentro del mismo sistema autónomo, lo que indica un esfuerzo coordinado y deliberado de extracción de datos.

Parcheo inmediato y rotación de credenciales

Los mantenedores de LiteLLM han lanzado la versión 1.83.7, que resuelve la vulnerabilidad al proteger adecuadamente las consultas a la base de datos.

Las organizaciones que ejecuten cualquier versión afectada (desde la 1.81.16 hasta la 1.83.6) deben aplicar esta actualización crítica de inmediato.

Dado que este ataque no requiere inicio de sesión y puede ejecutarse contra cualquier instancia expuesta, los administradores deben asumir que los servidores vulnerables y accesibles desde Internet ya han sido comprometidos.

Los equipos de seguridad deben rotar al instante todas las claves API virtuales, claves maestras y credenciales de proveedores almacenadas.

Además, las empresas deben monitorear activamente sus cuentas de facturación en la nube en busca de llamadas API inesperadas o consumo no autorizado de tokens de IA.

Los defensores también deben auditar los registros del servidor web en busca de solicitudes sospechosas que contengan palabras clave SQL o la carga útil sk-litellm'.

A medida que las pasarelas de IA se convierten en repositorios importantes de credenciales costosas en la nube, deben tratarse como objetivos de seguridad de primer nivel.

Proteger estos entornos proxy detrás de redes internas y mantener una gestión estricta de parches son pasos esenciales para prevenir el robo devastador de credenciales corporativas.

Fuentes:

https://www.sysdig.com/blog/cve-2026-42208-targeted-sql-injection-against-litellms-authentication-path-discovered-36-hours-following-vulnerability-disclosure
https://cybersecuritynews.com/litellm-sql-injection-vulnerability-exploited/