LiteLLM CVE-2026-59822 en el KEV de CISA: sesiones MCP falsificadas

La Cybersecurity and Infrastructure Security Agency (CISA) de EE. UU. añadió un fallo crítico de LiteLLM a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 3 de septiembre de 2026, lo que significa que se está explotando en la práctica ahora mismo. CVE-2026-59822 (CVSS 8.8, puntúa el vector) permite a un atacante sin autenticar falsificar una sesión autenticada de Model Context Protocol contra esta popular pasarela de IA de código abierto.

Qué ha pasado

LiteLLM es una de las pasarelas de IA más desplegadas: un único proxy que pone a más de 100 proveedores de modelos (OpenAI, Anthropic, Azure, Bedrock y más) detrás de una sola API. CVE-2026-59822 permite a un atacante establecer una sesión autenticada de Model Context Protocol (MCP) sin aportar credenciales válidas. Su inclusión en el catálogo KEV de CISA el 3 de septiembre es la señal que importa: CISA solo incluye vulnerabilidades con explotación activa confirmada.

Por qué la pasarela es el objetivo

Una pasarela de IA es, por diseño, el único lugar que guarda todas las claves de los proveedores de una organización. Esa concentración es la razón de ser de una pasarela y, justamente por eso, es un botín tan valioso. Las campañas recientes contra instancias de LiteLLM y RAGFlow han seguido un guion coherente: entrar, recolectar la configuración de los modelos y el material de claves de los proveedores, establecer un acceso duradero y desplegar mineros de criptomonedas XMRig para monetizar la capacidad de cómputo. Cuando la puerta principal de tus modelos se abre sin llave, el radio de impacto son todos los modelos, todas las facturas de los proveedores y todos los conjuntos de datos a los que esos modelos pueden llegar.

Qué tiene que ver MCP

El Model Context Protocol es el tejido conectivo de la era agéntica: es cómo los agentes de IA descubren y llaman a las herramientas. Una sesión MCP autenticada es una posición privilegiada: puede enumerar e invocar las herramientas que expone una pasarela. Saltarse la autenticación para llegar a esa sesión derrumba la frontera de confianza de la que depende todo el protocolo. Es un ejemplo concreto del riesgo que nuestras guías MCP Guard y OWASP LLM existen para sacar a la luz: los endpoints MCP son superficie de ataque y necesitan el mismo rigor de autenticación que cualquier otra API.

Qué hacer ahora

• Actualiza LiteLLM a la versión corregida sin demora y confirma la versión que se ejecuta de verdad en cada entorno: las pasarelas proliferan sin hacer ruido entre los equipos.
• Rota las claves de los proveedores que guardaba una instancia de LiteLLM si era accesible desde internet. Da por hecho que las claves se leyeron.
• Cierra los endpoints MCP. Exige autenticación, restringe la exposición en la red e inventaría a qué herramientas puede llegar cada sesión. Comprueba los tuyos con MCP Guard.
• Vigila la factura. La criptominería y el abuso de inferencia gratuita aparecen en el gasto antes que en los logs: un coste anómalo de los proveedores o de la nube es una señal temprana de brecha.
• Mapea la superficie. Usa el AI Footprint Scanner para encontrar pasarelas y servicios de IA expuestos antes que un atacante.

Fuentes

• The Hacker News — CISA Adds Seven Exploited Flaws (3 de septiembre de 2026)
• CISA — Known Exploited Vulnerabilities Catalog