استغلال ثغرة LiteLLM الحرجة CVE-2026-42271 في هجمات RCE بلا مصادقة

مقدمة تحليلية

تتوالى التحذيرات الأمنية التي تستهدف البنية التحتية للذكاء الاصطناعي، وفي أحدثها، أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ثغرة خطيرة في بوابة الذكاء الاصطناعي مفتوحة المصدر LiteLLM إلى قائمتها للثغرات المستغلة فعلياً (KEV). هذه الثغرة، المسماة CVE-2026-42271، هي ثغرة حقن أوامر (command injection) بحد ذاتها، تسمح للمستخدمين المصادق عليهم بتنفيذ أوامر عشوائية على الخادم المضيف. إلا أن الخطر يتفاقم بشكل كبير عندما يتم دمجها مع ثغرة أخرى في إطار عمل Starlette، وهي CVE-2026-48710، لتتحول إلى هجوم تنفيذ تعليمات برمجية عن بعد (RCE) كامل وغير مصادق عليه، مع درجة خطورة قصوى تبلغ 10.0 وفقًا لنظام CVSS. إن هذا التطور لا يمثل مجرد تهديد نظري، بل تحذيراً عاجلاً للمؤسسات التي تعتمد على LiteLLM في عملياتها. فالاستغلال النشط لهذه الثغرة في البرية يعني أن المهاجمين يعملون بالفعل على استهداف الأنظمة الضعيفة، مما يعرض بيانات اعتماد مزودي النماذج ومفاتيح API والبيانات الحساسة الأخرى لخطر السرقة، ويفتح الباب أمام التحرك الجانبي داخل البنية التحتية المتصلة للذكاء الاصطناعي، وربما اختراق الأنظمة النهائية المتكاملة مع البوابة.

التحليل التقني

تتمحور الثغرة الأساسية، CVE-2026-42271 (بدرجة CVSS: 8.7)، حول حقن الأوامر في حزمة بايثون LiteLLM. تؤثر هذه الثغرة على الإصدارات التالية:

• >= 1.74.2
• < 1.83.7

وفقاً لـ BerriAI، مطوري LiteLLM، فإن نقطتي نهاية تُستخدمان لمعاينة خادم MCP قبل حفظه، وهما POST /mcp-rest/test/connection و POST /mcp-rest/test/tools/list، تقبلان تكوين خادم كامل في جسم الطلب. يتضمن هذا التكوين حقول command و args و env التي يستخدمها نقل stdio. عند استدعاء هذه النقاط باستخدام تكوين stdio، كانت النقاط تحاول الاتصال، مما يؤدي إلى تشغيل الأمر المقدم كعملية فرعية على المضيف الوكيل بامتيازات عملية الوكيل. كانت المشكلة تكمن في أن نقاط النهاية هذه كانت مؤمنة فقط بواسطة مفتاح API وكيل صالح، مما سمح لأي مستخدم مصادق عليه، بما في ذلك مفاتيح المستخدمين الداخليين المميزين، بتنفيذ أوامر عشوائية على نظام عرضة للخطر. تم معالجة هذه الثغرة في الإصدار 1.83.7 من LiteLLM، حيث تتطلب نقاط النهاية الاختبارية الآن دور PROXY_ADMIN، مما يتماشى مع نقطة نهاية الحفظ. يتعقد الوضع بشكل أكبر عند دمج CVE-2026-42271 مع ثغرة CVE-2026-48710 (بدرجة CVSS: 6.5)، المعروفة باسم 'BadHost'، وهي ثغرة لتجاوز التحقق من رأس المضيف تؤثر على Starlette، وهو إطار عمل ASGI خفيف الوزن. تسمح هذه الثغرة، الموجودة في إصدارات Starlette التي تساوي أو تقل عن 1.0.0، بتجاوز آلية المصادقة بالكامل في deployments الخاصة بـ LiteLLM التي تحتوي شجرة تبعيتها على هذه الإصدارات من Starlette. هذا التحايل الأمني يحول الثغرة الأصلية من تنفيذ تعليمات برمجية عن بعد مصادق عليها إلى تنفيذ تعليمات برمجية عن بعد غير مصادق عليها، مما يلغي الحاجة إلى أي بيانات اعتماد. وقد أعلنت Horizon3.ai أن سلسلة الاستغلال هذه تحمل درجة خطورة مجمعة تبلغ 10.0، مما يجعلها حرجة للغاية. لمعالجة هذه المخاطر، يُنصح المستخدمون بتحديث LiteLLM إلى الإصدار 1.83.7 أو أحدث، و Starlette إلى الإصدار 1.0.1 أو أحدث. في حال تعذر التحديث الفوري، يوصى باتباع الإجراءات التخفيفية التالية:

• حظر نقاط النهاية POST /mcp-rest/test/connection و POST /mcp-rest/test/tools/list على مستوى الوكيل العكسي أو بوابة API.
• تقييد الوصول الشبكي إلى القطاعات الموثوقة فقط.
• تغيير بيانات الاعتماد المخزنة بواسطة الوكيل بشكل دوري.
• مراجعة السجلات بحثاً عن نشاط غير عادي لرأس المضيف وأحداث تنفيذ العمليات الفرعية.

السياق وتأثير السوق

تعد LiteLLM بوابة ذكاء اصطناعي مفتوحة المصدر وSDK بايثون، تتيح للمطورين التفاعل مع نماذج لغوية كبيرة (LLMs) متعددة من خلال واجهة موحدة. وبصفتها مكوناً حيوياً في البنية التحتية المتنامية لتطبيقات الذكاء الاصطناعي، فإن أي نقطة ضعف حرجة فيها يمكن أن يكون لها تداعيات واسعة النطاق. إن حقيقة استغلال CVE-2026-42271 فعلياً في البرية، بالإضافة إلى إمكانية ربطها بثغرة أخرى لتحقيق RCE بدون مصادقة، تسلط الضوء على تزايد تركيز المهاجمين على سلاسل توريد برمجيات الذكاء الاصطناعي. يأتي هذا التطور بعد أكثر من شهر بقليل من تعرض ثغرة أخرى حرجة في LiteLLM، وهي ثغرة حقن SQL (CVE-2026-42208 بدرجة CVSS: 9.3)، للاستغلال النشط في غضون 36 ساعة فقط من الإعلان عنها. يشير هذا النمط المتكرر من الثغرات الحرجة التي تُستغل بسرعة إلى أن أدوات الذكاء الاصطناعي، وخاصة تلك مفتوحة المصدر والتي تعمل كبوابات للوصول إلى نماذج LLMs، أصبحت أهدافاً رئيسية للمهاجمين. إن استغلال مثل هذه الثغرات يمكن أن يؤدي إلى اختراق بيانات اعتماد مزودي النماذج، وسرقة مفاتيح API، والتحكم في النماذج نفسها، والوصول غير المصرح به إلى الأنظمة الخلفية المتصلة. على مستوى السوق، يثير هذا القلق بشأن الأمان المتأصل في أدوات ومنصات الذكاء الاصطناعي الناشئة. فمع تسارع تبني الذكاء الاصطناعي عبر الصناعات، يجب على الشركات أن تولي اهتماماً خاصاً لصلابة الأمان في المكونات التي تختارها. قد تؤثر هذه الحوادث على ثقة المطورين والمؤسسات في حلول الذكاء الاصطناعي مفتوحة المصدر، وتدفعهم نحو حلول أكثر نضجاً أو ذات تدقيق أمني أقوى، أو تزيد من استثماراتهم في تدابير الأمن السيبراني الوقائية والكاشفة.

رؤية Glitch4Techs

من منظور Glitch4Techs، يمثل هذا الاستغلال المزدوج في LiteLLM و Starlette تحذيراً صارخاً بأن العجلة في تطوير ونشر أدوات الذكاء الاصطناعي يجب ألا تأتي على حساب الأمن. إن تكرار الثغرات الحرجة في LiteLLM، والتي تُستغل بفاعلية، يكشف عن تحديات أمنية عميقة في دورة حياة تطوير هذه الأدوات. فثغرة حقن الأوامر، على الرغم من كونها مصادق عليها في الأصل، كان ينبغي أن تخضع لضوابط وصول أكثر صرامة منذ البداية، كما تم تنفيذه في التصحيح اللاحق. إن اعتماد آلية أمنية أساسية مثل المصادقة على آليات التحقق من رأس المضيف في إطار عمل تابع (Starlette) يعد نقطة ضعف معمارية. فعندما يكون هذا الإطار نفسه عرضة للثغرات، فإن الحاجز الأمني بأكمله ينهار، محولاً هجوماً داخلياً محتملاً إلى تهديد خارجي غير مصادق عليه بالكامل. هذا يسلط الضوء على أهمية ليس فقط تأمين الكود الخاص بك، بل أيضاً إجراء تدقيق أمني صارم لجميع التبعيات الخارجية التي قد تؤثر على الوضع الأمني العام للتطبيق. ما يثير القلق هو نقص المعلومات المتاحة حالياً حول تفاصيل استغلال CVE-2026-42271 في البرية، بما في ذلك هويات المهاجمين، أو القطاعات المستهدفة، أو مدى انتشار هذه الهجمات، أو ما إذا كانت الهجمات الملحوظة تستفيد بالفعل من سلسلة الاستغلال المزدوجة هذه. هذا الغموض يعيق الجهود الدفاعية الفعالة ويجعل من الصعب على المؤسسات تحديد مدى تعرضها للخطر. نتوقع أن يستمر المهاجمون في التركيز على البنى التحتية للذكاء الاصطناعي، مستغلين تعقيدها وسرعة تطويرها. يجب على المؤسسات أن تتبنى نهج 'الأمن كوداً' وأن تدمج اختبار الأمان واكتشاف الثغرات في كل مرحلة من دورة تطوير برامج الذكاء الاصطناعي. يجب أن يشمل ذلك عمليات تدقيق متعمقة للتبعيات الخارجية، وليس فقط الكود الخاص بهم. إن الفشل في القيام بذلك سيؤدي حتماً إلى المزيد من حوادث الاختراق الكارثية في المشهد الرقمي المتطور للذكاء الاصطناعي.