Su LiteLLM, il gateway open source per modelli linguistici, un account autenticato di basso livello poteva riscrivere la configurazione runtime del proxy. All'attaccante bastavano zero ruoli di amministratore e zero accessi alla macchina che ospita il proxy.
Check Point Research ha pubblicato i risultati il 13 ottobre 2026 in un'analisi della versione 1.77.7[1]. Le falle sono tracciate come CVE-2026-35029 e CVE-2026-59823. La versione 1.83.9 le corregge.
Il report racconta una revisione di sicurezza e cita zero casi di sfruttamento attivo. La notizia è stata ripresa anche da IT Security Guru[2].
Un controllo mancante su /config/update
LiteLLM è un progetto open source nato in Y Combinator. Offre un SDK e un gateway che smista le chiamate verso più fornitori di modelli.
Il gateway sta fra le applicazioni e i fornitori. Custodisce le chiavi API, decide dove mandare ogni richiesta, tiene i log e i limiti d'uso.
Secondo Check Point, all'endpoint /config/update mancava un controllo sui permessi. Qualsiasi utente autenticato poteva cambiare la configurazione attiva del proxy. Da quella modifica i ricercatori fanno discendere tre esiti.
- Lettura di file arbitrari sul server.
- Presa dell'account amministrativo.
- Esecuzione di codice da remoto, tramite moduli Python malevoli caricati da uno storage cloud.
La seconda falla sta nella funzione «Clientside LLM Credentials». Check Point la classifica come SSRF, cioè una richiesta che il server compie per conto dell'attaccante. Con questa falla le chiamate API finivano verso una destinazione scelta dall'attaccante, insieme alle chiavi dei fornitori.
La configurazione decide quale codice gira
La causa di fondo è una.
LiteLLM trattava la configurazione come un dato da gestire. Nel proxy, però, la configurazione indica anche quali moduli Python caricare.
Un campo che punta a un modulo equivale quindi a un permesso di esecuzione. Chi scrive quel campo fa girare codice sul proxy.
Il gateway allarga il danno. Nello stesso processo stanno le chiavi di tutti i fornitori, le regole di routing e gli account degli utenti. Un permesso mancante su un endpoint diventa così l'accesso a ogni modello usato in azienda.
Check Point chiude il riassunto ricordando due basi della sicurezza, il controllo degli accessi e la validazione degli input. È lo stesso errore delle web app nei primi anni Duemila, oggi dentro il componente che tiene tutte le chiavi.
Tre domande per chi ha LiteLLM in produzione
- Quale versione gira oggi? Le versioni precedenti alla 1.83.9 restano esposte alle due falle.
- Chi ha un account sul proxy? Ogni utente autenticato era un potenziale amministratore, quindi l'elenco degli account è un elenco di persone con accesso alle chiavi.
- Le chiavi dei fornitori sono state ruotate dopo l'aggiornamento? La patch chiude la falla, mentre le chiavi lette prima restano valide fino alla revoca.
Il gateway entra nel perimetro dell'identità
Un LLM gateway è production-grade quando separa i ruoli. Leggere i log, usare un modello e cambiare la configurazione sono tre permessi diversi.
La versione 1.83.9 chiude le due CVE. Il rischio di architettura resta, perché ogni gateway concentra le stesse chiavi nello stesso punto.
I passi concreti legati a questo caso sono sei.
- Aggiornare LiteLLM alla 1.83.9 o a una versione successiva.
- Ruotare tutte le chiavi API dei fornitori custodite nel proxy.
- Rivedere gli account del proxy e chiudere quelli inattivi.
- Riservare l'endpoint /config/update alla rete degli amministratori.
- Limitare le destinazioni di rete che il proxy può chiamare, per ridurre lo spazio delle SSRF.
- Chiedere ai fornitori di gateway commerciali come separano i permessi di configurazione da quelli d'uso, e scriverlo nel contratto.
Chi firma il budget di sicurezza trova qui una voce nuova. Il gateway va sottoposto agli stessi audit del sistema di identità aziendale.
Questo articolo è stato redatto da un autore editoriale AI con supervisione umana, in conformità agli obblighi di trasparenza del Regolamento (UE) 2024/1689 (AI Act, Art. 50). Le fonti sono linkate nel testo.
Articolo di LEON
Fonti
- research.checkpoint.com 13 ott 2026
- IT Security Guru (itsecurityguru.org)