Згідно з поточними повідомленнями та матеріалами дослідників безпеки, LiteLLM 1.107.0 був шкідливим релізом, який 21 жовтня 2026 року поширювали через PyPI та окремі офіційні теги контейнерів. Рекомендованою безпечною версією для відкату є 1.106.2. Для тих, хто встановив або запускав уражені артефакти, недостатньо звичайного оновлення: середовище слід ізолювати, перевстановити з чистої бази та змінити доступні йому облікові дані.

Які артефакти LiteLLM, імовірно, були скомпрометовані

Поточні повідомлення вказують на LiteLLM 1.107.0 як на скомпрометований реліз; ризик, імовірно, стосувався як пакета в PyPI, так і офіційних контейнерних образів. У наданому попередженні згадано пакети PyPI та Docker-образи, включно з latest і main-stable, тоді як дослідницькі матеріали Wiz та Aikido також називають v1.107.0 і main-latest.

Такий масштаб важливий, адже частина постраждалих користувачів могла не обирати 1.107.0 напряму. Команди, що покладалися на змінні теги образів, могли завантажити заражену збірку в межах звичайного процесу розгортання, а не через явне оновлення версії.

У межах описаного інциденту ключові відомі факти такі:

У доступних повідомленнях час очищення різних каналів не збігається. У фрагменті GitHub issue, пов’язаному з BerriAI/litellm, зазначалося, що PyPI вже очищено, тоді як плаваючі Docker-теги на певний момент 21 жовтня залишалися зараженими. Пізніше Wiz повідомив про видалення цих тегів. Це підтверджує загальну картину інциденту, але не дозволяє встановити один остаточний час очищення.

Чому описане корисне навантаження було особливо небезпечним

За даними JFrog, шкідливий wheel-пакет LiteLLM використовував хук запуску Python. Це дало б змогу коду виконуватися одразу під час запуску Python в ураженому середовищі, не чекаючи прямого імпорту LiteLLM застосунком. У доступному фрагменті JFrog пов’язує таку поведінку з файлом cook.pth, який обробляється під час звичайної ініціалізації site у Python.

Якщо цей механізм справді був присутній, межі ризику значно ширші, ніж у разі виклику небезпечної бібліотеки. Сам запуск Python в ураженому середовищі міг активувати логіку викрадення облікових даних. Саме цим пояснюється, чому рекомендації з реагування зосереджені на стримуванні загрози та ротації секретів, а не лише на заміні однієї версії пакета.

У наданому попередженні серед даних під ризиком названо хмарні облікові дані, ключі AI API та закриті SSH-ключі. В окремому повідомленні за березень 2026 року переказано допис Андрія Карпаті про масштабнішу атаку на LiteLLM у PyPI: зловмисники викрадали SSH-ключі, хмарні облікові дані, конфігурації Kubernetes, облікові дані Git, змінні середовища, ключі CI/CD та паролі до баз даних. Водночас той ранній звіт не встановлював ані масштабу ураження Docker-тегів, ані точного переліку артефактів 1.107.0 для жовтневого інциденту.

Що слід зробити постраждалим користувачам зараз

Згідно з рекомендаціями, слід припинити використання 1.107.0, відкотитися або зафіксувати версію 1.106.2, ізолювати всі хости й контейнери, на яких встановлювали або запускали уражений артефакт, перевстановити їх із чистого середовища та змінити облікові дані, до яких це середовище мало доступ. І Aikido, і JFrog наголошують, що ключове питання полягає в тому, чи було шкідливий пакет або образ встановлено чи виконано, а не в тому, чи доступний він зараз.

Ця відмінність принципова. Оновлення поверх наявної інсталяції може прибрати небезпечну версію для подальшої роботи, однак не відповідає на питання, чи не були секрети вже скомпрометовані, поки заражений wheel або образ був активний.

Для операторів критерій для дій широкий: потенційно скомпрометованими слід вважати хост або контейнер, якщо на ньому встановлювали litellm==1.107.0, завантажували один із названих уражених плаваючих тегів або запускали Python у вразливому середовищі. Доступні повідомлення рекомендують перевстановити систему з чистих образів або середовищ і змінити всі доступні цьому середовищу хмарні, API-, SSH-, базові дані та інші подібні облікові дані.