Gepubliceerd: 2026-09-22

MCP-endpoint van AI-gateway LiteLLM op CISA's lijst van actief misbruikte lekken

Het lek zelf is niet spectaculair. Wat het bijzonder maakt, is de erkenning: in de KEV-catalogus van CISA — de lijst van kwetsbaarheden waarvan misbruik in het wild is aangetoond — is dit de enige vermelding waarin een MCP-endpoint expliciet als aanvalspad wordt genoemd (versie 2026.09.21). De AI-gateway, het onopvallende stukje infrastructuur waar bij veel organisaties álle modelverkeer en alle MCP-koppelingen doorheen lopen, is daarmee officieel aanvalsdoelwit.

Wat ging er precies mis?

LiteLLM is een veelgebruikte open-source proxy die modelaanroepen van verschillende leveranciers achter één OpenAI-compatibele API verbergt, en die daarnaast MCP-servers kan ontsluiten. In versies vóór 1.84.0 zat een fout in het MCP Streamable HTTP-endpoint: als de OAuth2-passthrough-authenticatie naar een achterliggende MCP-server mislukte, viel de code terug op een leeg UserAPIKeyAuth()-object in plaats van de request te weigeren. Een aanvaller die simpelweg een verzonnen bearer-token meestuurde, kreeg zo een geldige MCP-sessie zonder ooit een echte LiteLLM-sleutel te bezitten.

De cijfers: CVSS 8.8 (v4.0; 8.2 volgens v3.1), geclassificeerd als CWE-287 en CWE-306 — onjuiste authenticatie en ontbrekende authenticatie voor een kritieke functie. De leveranciersadvisory verscheen op 30 juni 2026, de NVD-registratie op 8 juli. Pas twee maanden later, op 2 september, volgde de KEV-vermelding met een patchdeadline van 16 september voor Amerikaanse federale instanties. Met andere woorden: de fix lag er ruim vóórdat het misbruik begon.

Dat misbruik is geen aanname. Onderzoekers van Wiz meldden op 9 september dat ze exploitatie van dit lek waarnamen op hun honeypots, met requests die via het omzeilde endpoint de modellijst probeerden uit te lezen. Diezelfde publicatie beschrijft de vervolgstap die de impact bepaalt: wie langs de gateway is, spreekt de MCP-servers erachter aan. Hangt daar een databasequery-tool, dan draait de aanvaller queries; hangt er een GitHub-koppeling, dan leest hij repositories.

Waarom raakt dit ook organisaties die zelf geen LiteLLM draaien?

Omdat het patroon algemener is dan het product. Een AI-gateway is in de praktijk een credential store: hij bewaart de API-sleutels van je modelleveranciers, hij kent de tokens naar je MCP-servers, en hij staat aan het internet omdat je agents er vanaf verschillende plekken bij moeten. Eén authenticatiefout in die laag weegt daarom zwaarder dan dezelfde fout in een losse applicatie.

De blootstelling is bovendien reëel. Wiz scande in februari 2026 3.074 publiek bereikbare LiteLLM-proxies: 294 daarvan (9,6%) accepteerden een standaard master key of vroegen helemaal geen authenticatie, waarvan 191 (6,2%) helemaal niets. Bij een herhaalde scan in augustus 2026 vonden ze ruim 85.000 instanties, al lijkt de meerderheid daarvan uit honeypots en testopstellingen te bestaan — een aanwijzing hoeveel aandacht deze categorie inmiddels trekt.

En de sleutels zijn het doelwit, niet de bijvangst. Anthropic beschrijft in zijn dreigingsrapport van 10 september 2026 dat meerdere actoren de LiteLLM-implementatie van AI-dienstverleners compromitteerden en via prompt injection de productie-API-sleutels uit hun cloudomgevingen wegsluisden. Gestolen AI-sleutels leveren de aanvaller drie dingen tegelijk op: handelswaar, gratis rekenkracht, en een rekening die bij het slachtoffer belandt.

De grotere lijn

Het MCP-protocol zelf staat hier niet ter discussie — dit is een implementatiefout in één product, en de recente specificatieherziening scherpt juist de autorisatie aan. Maar de zaak markeert wel een overgang. MCP-beveiliging ging het afgelopen jaar vooral over kwaadaardige servers en vergiftigde tool-beschrijvingen: risico's die je met zorgvuldige selectie afdekt. Dit lek zat in een server die organisaties zelf, bewust en vertrouwd hadden geïnstalleerd. Dezelfde discipline die je op je API-gateways loslaat — versiebeheer, sleutelrotatie, minimale rechten, blootstellingsinventaris — geldt vanaf nu ook voor de laag waar je agents doorheen praten.

Bronnen

• CISA Known Exploited Vulnerabilities Catalog — vermelding CVE-2026-59822 (toegevoegd 2 september 2026)
• GHSA-7488-6r32-c95q — MCP Authentication Bypass via OAuth2 Passthrough Fallback (BerriAI/LiteLLM)
• CVE-2026-59822 — National Vulnerability Database
• Breaking LiteLLM: From Authentication Bypass to Cloud Compromise — Wiz (9 september 2026)
• Countering misuse of AI: September 2026 — Anthropic threat intelligence report
• CISA Adds Seven Exploited Flaws — The Hacker News (3 september 2026)

Veelgestelde vragen

Ben ik kwetsbaar als ik LiteLLM gebruik?

Alleen versies vóór 1.84.0 zijn kwetsbaar voor CVE-2026-59822. Controleer je versie en werk bij; kun je niet direct upgraden, dan adviseert de leverancier om /mcp/ en gerelateerde MCP-endpoints te blokkeren op je reverse proxy of API-gateway.

Raakt dit lek ook mijn MCP-servers zelf?

De fout zit in LiteLLM, niet in het MCP-protocol. Maar wie langs de gateway komt, krijgt wél de MCP-tools te spreken die erachter hangen — een databasequery-tool of een GitHub-koppeling doet dan gewoon zijn werk voor de aanvaller.

Is de CISA KEV-lijst relevant voor een Nederlands bedrijf?

De patchplicht geldt alleen voor Amerikaanse federale instanties, maar de lijst is openbaar en gratis. Als prioriteringssignaal is hij bruikbaar voor iedereen: een KEV-vermelding betekent dat er bewijs is van misbruik in het wild, niet alleen een theoretisch risico.

Laatst bijgewerkt: 2026-09-22