LiteLLM · Exploração confirmada

LiteLLM liga 1.107.0 maliciosa à chave vazada; credenciais devem ser rotacionadas

20 de out. de 2026 · 2 min de leitura

A versão 1.107.0 do LiteLLM, publicada em 21 de outubro no PyPI e nas imagens oficiais de Docker e GHCR, instalava um ladrão de credenciais e um carregador remoto de código que rodava a cada início do Python. A versão foi removida, versões limpas voltaram em 24 de outubro, e a LiteLLM atribui o ataque a uma chave exposta acidentalmente em maio e nunca revogada, com possível impacto a dezenas de milhares de usuários. Quem rodou a 1.107.0 deve tratar o host como comprometido e rotacionar credenciais, incluindo chaves de nuvem e de IA.

Por Redação HIFY Radar Atualizado 26/10/2026 13:47 Receba isso todo dia →← Voltar ao feed 12 fontes

CríticaCadeia de suprimentosExploração confirmadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Atacantes sequestraram o processo de publicação do LiteLLM em 21 de outubro e distribuíram a versão 1.107.0 com malware pelo PyPI e pelas imagens oficiais de Docker e GHCR. A versão maliciosa ficou cerca de três horas disponível e foi baixada cerca de 49.000 vezes no PyPI. Os pacotes foram removidos e a LiteLLM atribui o ataque a uma chave exposta acidentalmente em maio e nunca revogada.

Por que importa

O malware roubava senhas de navegador, chaves de nuvem (AWS, GCP, Azure), chaves SSH e GPG, segredos de CI e as chaves de API de provedores de IA guardadas no proxy LiteLLM, e ainda buscava código do atacante a cada hora. A Wiz relatou uso de credenciais roubadas cerca de 4,5 horas após o roubo, inclusive para consultar modelos da Amazon Bedrock. A LiteLLM estima que o ataque pode ter atingido dezenas de milhares de usuários; clientes corporativos com registro privado não foram afetados, segundo a empresa.

O que fazer

Verificar se a versão 1.107.0 ou imagens das tags latest, main-latest e main-stable foram instaladas ou executadas em 21 de outubro. Se sim, remover a versão, fixar em 1.106.2 ou versão limpa posterior, varrer o host contra malware e rotacionar toda credencial acessível, incluindo chaves de nuvem, tokens de IA e segredos de CI. Bloquear o domínio litellm[.]dev.

Para o time técnico

Afetados: LiteLLM (PyPI e imagens oficiais de Docker/GHCR) · litellm 1.107.0 no PyPI (todas as 7 wheels: macOS, Linux glibc e musl, Windows; o sdist tem pyproject.toml alterado com a linha data = cook, mas sem payload); imagens ghcr.io/berriai/litellm, litellm-database, litellm-non_root e docker.io/litellm/litellm nas tags v1.107.0, latest, main-latest e main-stable entre 11:46 e 14:20 UTC de 21 de outubro. As versões 1.107.0rc1, 1.107.0rc2 e a linha 1.106.x e anteriores inspecionadas estão limpas.
Exploração: Exploração confirmada e contida: cerca de 49.000 downloads no PyPI antes da remoção (SecurityWeek, StepSecurity). A Wiz viu validação de credenciais AWS roubadas cerca de 4,5 horas após a exfiltração, consultas a modelos Amazon Bedrock (LLMjacking) e, em alguns ambientes, listagem de funções, usuários e access keys IAM. Registrado no OSV como MAL-2026-2144.
Correção: A 1.107.0 foi removida do PyPI, do Docker Hub e do GHCR; versões limpas retomadas em 24 de outubro. Fixar litellm==1.106.2 (última versão conhecida como segura, segundo a Wiz) ou release limpa posterior (ex.: 1.106.4, citada pela StepSecurity), ou imagem por digest. Limpeza: apagar cook.pth, cook.py e sitecustomize.py do site-packages, matar processo Python com /tmp/remote_code_loader.lock, bloquear litellm[.]dev e rotacionar credenciais acessíveis.
Vetor: Sequestro do workflow de release com token OAuth do GitHub CLI de um owner da organização, obtido de uma conta de usuário interna do LiteLLM exposta à internet; a LiteLLM suspeita que o Claude Code embutiu tokens em corpos de resposta gravados nos logs e que o acesso inicial veio de vulnerabilidade corrigida recentemente. Com credenciais de três engenheiros, o atacante desabilitou proteções de branch, apontou o workflow para o repositório imitador Berri-AI/litellm e publicou artefatos assinados. O payload entra como cook.pth, cook.py e sitecustomize.py no site-packages e executa a cada início do interpretador Python, sem precisar importar litellm.
Mais detalhes: Segundo ataque de supply chain no LiteLLM em 2026, após 1.82.7/1.82.8 em março (ligado a 2.488 domínios corporativos segundo Hudson Rock e a cerca de 2.500 organizações segundo CloudSEK). Janelas: PyPI de 11:39 a 13:23 UTC; tags GHCR indisponíveis às 13:51 UTC; Docker Hub repontado às 14:20 UTC. litellm.dev registrado em 13 de outubro de 2026 às 00:45 UTC; conta letters9813 criada 6 horas depois. O stealer coleta senhas e cookies de navegador, histórico de navegação e de shell, chaves SSH/GPG, credenciais AWS/Azure/GCP/Kubernetes/Docker, ambiente de todos os processos, configs de mais de 20 ferramentas de IA (Codex, Claude, Gemini, Cursor) e chaves do banco do proxy; cifra e envia a litellm[.]dev. O segundo estágio checa dead drop no GitHub a cada hora e executa Python servido pelo atacante. Downloads semanais do LiteLLM: cerca de 23 milhões (Socket). A StepSecurity diz que o token foi roubado 11 dias antes via chave nunca revogada, e a Socket relata workflows de roubo rodando 11 dias antes do ataque. Commit original da tag v1.107.0: 66c8f5b1a9.

Linha do tempo

26/10/2026 13:47
A LiteLLM afirma que a origem do ataque foi uma chave exposta acidentalmente em maio e nunca revogada, e que o ataque pode ter atingido dezenas de milhares de usuários.
26/10/2026 13:17
OSV registra o pacote malicioso; versão removida e usuários orientados a rotacionar credenciais.