Qué se ha añadido
CISA añadió siete vulnerabilidades a su catálogo de vulnerabilidades explotadas conocidas el 2 de septiembre. Figurar en ese catálogo no es una calificación de gravedad: significa que la agencia tiene indicios de que el fallo se está explotando de forma activa.
Las siete son CVE-2026-9586 en Sangoma Switchvox, CVE-2026-48710 en Kludex Starlette, CVE-2026-49869 en Kestra OSS, CVE-2026-59822 en BerriAI LiteLLM, CVE-2026-82329 en JFrog Artifactory, y CVE-2026-83548 y CVE-2026-83549 en los equipos SonicWall SMA1000.
Tres de ellas — LiteLLM, Kestra y JFrog Artifactory — están en la pila sobre la que se construyen las aplicaciones de IA. Esa es la parte que merece atención.
El fallo de LiteLLM, en concreto
LiteLLM es un proxy que ofrece a las aplicaciones una única API por delante de muchos proveedores de modelos. CVE-2026-59822 es una elusión de autenticación en su punto final HTTP de flujo del Model Context Protocol, con una puntuación de 8,8.
El mecanismo es una ruta de reserva. En versiones anteriores a la 1.84.0, una petición con una cabecera Authorization falsificada fallaba la validación de clave de LiteLLM y luego caía en una rama de paso OAuth2, que sustituía la comprobación fallida por un objeto UserAPIKeyAuth() vacío. La petición continuaba como autenticada. Así, un llamante sin autenticar podía abrir una sesión MCP y alcanzar las herramientas que el despliegue tuviera configuradas detrás.
MCP es lo que convierte esto en algo más que un fallo de proxy. El protocolo existe para que un modelo pueda invocar herramientas, y una pasarela situada delante de ellas suele tener las credenciales de los sistemas que esas herramientas tocan. La corrección es la versión 1.84.0.
Quién tiene realmente un plazo
Bajo la directiva operativa vinculante 26-04, las agencias civiles federales deben corregir las entradas del catálogo según un calendario; la directiva prioriza los activos expuestos públicamente cuya explotación entrega el control total. eSecurity Planet informó de que el plazo para la mayor parte de este lote era el 5 de septiembre, con LiteLLM y Starlette ampliados al 16 de septiembre.
Nadie más está sujeto a ese reloj. Los operadores privados que ejecutan LiteLLM delante de tráfico de modelos en producción tienen el mismo fallo y ninguna fecha de cumplimiento, que es la asimetría habitual del proceso: hace público un fallo explotado y solo obliga a actuar a una clase de operador.
El patrón detrás del lote
eSecurity Planet informó de que Microsoft y Wiz han documentado campañas activas contra infraestructura de IA durante una ventana de 90 días, con robo de credenciales, persistencia, shells inversos y minería de criptomonedas. Nada de eso es novedoso como oficio atacante. Lo nuevo es hacia dónde apunta: a las pasarelas, los orquestadores y los registros de artefactos que se sitúan entre una aplicación y un modelo, y no a los modelos mismos.
Si utiliza LiteLLM, la acción es comprobar la versión. Si mantiene cualquier cosa expuesta a MCP, la pregunta más útil es qué credenciales hay detrás de las herramientas que expone.
