Eine kritische Sicherheitsluecke im weit verbreiteten KI-Gateway LiteLLM erlaubt es unauthentifizierten Angreifern, mit einem beliebigen Bearer-Token eine gueltige Sitzung ueber das Model-Context-Protocol (MCP) aufzubauen. Die US-Cyberbehoerde CISA nahm die als CVE-2026-59822 gefuehrte Schwachstelle am 2. September 2026 in ihren Katalog aktiv ausgenutzter Luecken auf.
Leerer Auth-Kontext statt Fehlermeldung
LiteLLM buendelt Zugriffe auf zahlreiche KI-Modelle hinter einer einheitlichen Schnittstelle und wird von vielen Unternehmen als zentraler Proxy betrieben. Der Fehler steckt im Streamable-HTTP-Endpunkt fuer MCP: In Versionen vor 1.84.0 loeste eine gefaelschte Authorization-Kopfzeile einen OAuth2-Passthrough-Fallback aus. Statt eine fehlgeschlagene Schluesselpruefung abzuweisen, ersetzte LiteLLM sie durch ein leeres UserAPIKeyAuth()-Objekt. Anfragen erreichten so das MCP-Tooling ganz ohne gueltigen LiteLLM-Schluessel. Die Schwachstelle ist mit einem CVSS-Wert von 8.8 als kritisch eingestuft.
Ueber die erschlichene Sitzung koennen Angreifer die konfigurierten MCP-Werkzeuge auflisten und aufrufen und damit auf angebundene Dienste zugreifen, die eigentlich hinter der Authentifizierung liegen sollten. In vielen Setups reicht das, um interne Systeme und Datenquellen zu erreichen.
Aktive Ausnutzung und Gegenmassnahmen
Nach Angaben des zu Google gehoerenden Sicherheitsanbieters Wiz wurden Ausnutzungsversuche gegen firmeneigene Honeypots beobachtet, die gezielt Endpunkte zur Modell-Aufzaehlung ansprachen; eine Zuordnung zu einer bestimmten Gruppe nennt Wiz fuer diese Luecke nicht. CISA verpflichtet US-Bundesbehoerden, bis zum 16. September 2026 zu patchen.
- Auf LiteLLM 1.84.0 oder neuer aktualisieren.
- Den MCP-Endpunkt nicht ungeschuetzt ins Internet stellen und Zugriffsprotokolle pruefen.
- Ausgestellte API-Schluessel rotieren, falls ein Zugriff nicht auszuschliessen ist.
Quellen: CISA · GitLab Advisory Database · The Hacker News
