Ciberdelincuentes están explotando activamente una vulnerabilidad crítica encadenada en LiteLLM, un proxy de puerta de enlace de IA de código abierto. Según investigadores de Horizon3.ai, la combinación de dos CVE permite la ejecución remota de código (RCE) sin necesidad de autenticación. Esta ruta de ataque ha sido calificada con una puntuación CVSS 10.0 (Crítica), basándose principalmente en la inyección de comandos detallada en el CVE-2026-42271.

Los actores de amenazas están explotando activamente una vulnerabilidad encadenada crítica en LiteLLM, un popular proxy de pasarela de IA de código abierto, lo que permite la ejecución remota de código (RCE) no autenticada en implementaciones vulnerables. Los investigadores de Horizon3.ai confirmaron que la combinación de dos CVE crea una ruta de ataque crítica con un CVSS 10.0 que no requiere credenciales.

En el núcleo de esta amenaza se encuentra el CVE-2026-42271, un fallo de inyección de comandos en los puntos finales de prueba del servidor del Protocolo de Contexto de Modelo (MCP) de LiteLLM. Específicamente, los siguientes puntos finales aceptan configuraciones completas del servidor, incluidos comandos, argumentos y variables de entorno, y ejecutan la entrada suministrada como un subproceso en el host:

• POST /mcp-rest/test/connection
• POST /mcp-rest/test/tools/list

Cuando se reveló inicialmente el 20 de abril de 2026, se consideró que el fallo tenía un impacto limitado porque el acceso requería una clave API de proxy válida. Esa suposición se desmoronó cuando los investigadores de Horizon3.ai la encadenaron con el CVE-2026-48710, una omisión de validación del encabezado Host "BadHost" de Starlette que afecta a las versiones 1.0.0 y anteriores de Starlette.

Al manipular el encabezado Host HTTP para explotar la omisión de autenticación de Starlette, los atacantes pueden saltarse completamente el requisito de la clave API de LiteLLM. El resultado es que los comandos de ejecución remota de código no autenticados se ejecutan con los mismos privilegios que el proceso del proxy LiteLLM, sin necesidad de inicio de sesión ni clave API.

Las versiones afectadas abarcan desde LiteLLM 1.74.2 hasta 1.83.6 en implementaciones cuyo árbol de dependencias incluya Starlette ≤ 1.0.0.

Explotación de la Vulnerabilidad RCE de LiteLLM

La explotación exitosa de esta vulnerabilidad encadenada otorga a los atacantes un alcance significativo dentro de la infraestructura de IA. Una vez lograda la ejecución de código, los actores de amenazas pueden:

• Ejecutar comandos arbitrarios del SO en el host de LiteLLM
• Robar claves API y credenciales de proveedores de modelos almacenadas por el proxy
• Acceder a secretos y variables de entorno en el proceso del proxy
• Moverse lateralmente hacia la infraestructura de IA conectada y los sistemas downstream

Dado que LiteLLM se utiliza ampliamente para enrutar y gestionar llamadas API a modelos de lenguaje extensos (LLM) de proveedores como OpenAI, Anthropic y Azure, un compromiso de la capa de pasarela puede provocar una exposición más amplia de la cadena de suministro de IA.

Indicadores de Compromiso

Los equipos de seguridad deben monitorizar las siguientes señales de actividad de explotación:

• Ejecución inesperada de subprocesos originados desde el proceso LiteLLM
• Solicitudes HTTP dirigidas a /mcp-rest/test/connection o /mcp-rest/test/tools/list
• Valores de encabezado Host inusuales o malformados en los registros del proxy
• Eventos de ejecución de comandos no autorizados en el sistema host

Las organizaciones deben actualizar inmediatamente LiteLLM a la versión 1.83.7 o posterior y asegurarse de que Starlette esté actualizado a la versión 1.0.1 o posterior. Si no puedes aplicar el parche inmediatamente, debes:

• Bloquear el acceso externo a los puntos finales de prueba de MCP
• Restringir el acceso de red del proxy únicamente a segmentos confiables
• Rotar todas las credenciales y claves API almacenadas por el proxy
• Revisar los registros en busca de valores anómalos en el encabezado Host y eventos de subprocesos

Dada la explotación activa en entornos reales, debes tratar el parcheo como una prioridad de emergencia para cualquier organización que ejecute una implementación de LiteLLM autohospedada.