Vad som lades till
CISA lade den 2 september till sju sårbarheter i sin katalog över kända utnyttjade sårbarheter. Att hamna i katalogen är inte ett allvarlighetsbetyg — det betyder att myndigheten har belägg för att bristen utnyttjas aktivt.
De sju är CVE-2026-9586 i Sangoma Switchvox, CVE-2026-48710 i Kludex Starlette, CVE-2026-49869 i Kestra OSS, CVE-2026-59822 i BerriAI LiteLLM, CVE-2026-82329 i JFrog Artifactory samt CVE-2026-83548 och CVE-2026-83549 i SonicWall SMA1000-enheter.
Tre av dem — LiteLLM, Kestra och JFrog Artifactory — sitter i den stack som AI-tillämpningar byggs på. Det är den delen som är värd att lägga märke till.
LiteLLM-bristen i detalj
LiteLLM är en proxy som ger applikationer ett enda API framför många modellleverantörer. CVE-2026-59822 är en autentiseringsförbigång i dess strömmande HTTP-ändpunkt för Model Context Protocol, med poängen 8,8.
Mekanismen är en reservväg. I versioner före 1.84.0 misslyckades en begäran med en påhittad Authorization-rubrik med LiteLLM:s nyckelvalidering och föll sedan igenom till en OAuth2-genomsläppsgren, som ersatte den misslyckade kontrollen med ett tomt UserAPIKeyAuth()-objekt. Begäran fortsatte som autentiserad. En anropare utan autentisering kunde därmed öppna en MCP-session och nå de verktyg installationen hade konfigurerat bakom den.
MCP är det som gör detta till mer än ett proxyfel. Protokollet finns för att en modell ska kunna anropa verktyg, och en gateway framför sådana verktyg har vanligtvis uppgifterna till de system verktygen rör. Rättningen är version 1.84.0.
Vem som faktiskt har en tidsfrist
Enligt det bindande operativa direktivet 26-04 måste federala civila myndigheter åtgärda katalogposter enligt ett schema; direktivet prioriterar publikt exponerade tillgångar där ett utnyttjande ger full kontroll. eSecurity Planet uppgav att fristen för merparten av den här omgången var den 5 september, medan LiteLLM och Starlette förlängdes till den 16 september.
Alla andra berörs inte av den klockan. Privata aktörer som kör LiteLLM framför modelltrafik i produktion har samma brist och inget slutdatum, vilket är den vanliga asymmetrin i processen: den gör en utnyttjad brist offentlig och tvingar bara en kategori av aktörer att agera.
Mönstret bakom omgången
eSecurity Planet uppgav att Microsoft och Wiz dokumenterat aktiva kampanjer mot AI-infrastruktur under ett 90-dagarsfönster, med insamling av inloggningsuppgifter, persistens, omvända skal och kryptobrytning. Inget av det är nytt som angreppshantverk. Det nya är vart det riktas: mot gatewayer, orkestrerare och artefaktregister som sitter mellan en applikation och en modell, snarare än mot modellerna själva.
Kör du LiteLLM är åtgärden att kontrollera versionen. Driver du något som exponerar MCP är den mer användbara frågan vilka inloggningsuppgifter som ligger bakom verktygen det exponerar.
