LiteLLM sürüm hattı yeniden ele geçirildi: PyPI ve Docker Hub'da v1.107.0 olarak dağıtılan infostealer
21 Ekim 2026 sabahı, LiteLLM'in kötü niyetli bir sürümü PyPI'ya ve projenin resmî Docker imajlarına düştü. 1.107.0 sürümü, geliştiricilerin yazdığı kodun yerine kimlik bilgisi çalan bir yazılım ve uzaktan kod yükleyici taşıyordu. LiteLLM'in kendi güvenlik güncellemesine göre, projenin geliştirici hesaplarına ait sızmış GitHub kimlik bilgileri kullanılarak sürüm hattının kendisi ele geçirildi. Kötü niyetli paketler PyPI'da iki saatten az kaldı; bulaşmış Docker etiketleri bütün öğleden sonra hayatta kaldı. Otomatik derlemelerin ve sabitlenmiş bağımlılıkların dünyasında bu, ciddi sonuçlar doğurmak için fazlasıyla uzun bir süreydi.
Temiz etiket, zehirli derleme
Açıklama, paketlere duyulan güvenin ne kadar kırılgan olduğunu gösteren bir kontrol listesi gibi okunuyor. LiteLLM, saldırganın üç geliştirici hesabından GitHub CLI OAuth tokenları elde ettiğini bildiriyor — görünüşe göre internete açık dahili bir LiteLLM kurulumunun günlüklerinden toplanmış; hesaplardan biri bir GitHub organizasyon sahibine aitti. Bu kimlik bilgileriyle dal koruması devre dışı bırakıldı, workflow'da bir değişiklik zorla itildi ve sürüm hattı taklit bir depoya yönlendirildi: Berri-AI/litellm — gerçek BerriAI/litellm'den yalnızca bir tire uzakta. v1.107.0'ın resmî git etiketi temiz kaldı; kötü niyetli artefaktlar sahte depodan derlendi."Bu sürüm, kimlik bilgileri çalan ve uzaktan kod yürütme araçları yükleyen derlenmiş kötü amaçlı yazılım içeriyordu." — LiteLLM güvenlik güncellemesi, 21 Ekim 2026Tespit en azından hızlıydı. BleepingComputer'ın haber verdiği gibi, Socket ve Endor Labs dahil güvenlik firmaları sürümü altı dakika civarında işaretledi; PyPI paketleri 13:23 UTC'ye kadar kaldırmıştı, Docker Hub da öğleden sonra temizlendi. LiteLLM, özel kurumsal kayıt defteri müşterilerinin etkilenmediğini söylüyor. Paket ayda yaklaşık 92 milyon indirme aldığında ve BleepingComputer'a göre kullanıcıları arasında NVIDIA, Netflix ve Okta gibi şirketler bulunduğunda altı dakika hâlâ önem taşır.
Stealer'ın peşinde olduğu şeyler
Yükün çalışma biçimi, tavsiyelerin neden bu kadar kesin olduğunu açıklıyor. Paketler üç dosya bıraktı — cook.pth, cook.py ve sitecustomize.py — Python'un site-packages dizinine. Python bu tür dosyaları her yorumlayıcı başlangıcında çalıştırır; dolayısıyla makinedeki her Python süreci, LiteLLM hiç içe aktarılmamış olsa bile kötü amaçlı yazılımı çalıştırdı. Datadog Security Labs'ın teknik incelemesi, litellm paketini kaldırmanın bu dosyaları ortadan kaldırmadığını ekliyor; elle silinmeleri gerekiyor. Kodem'in olay analizi, stealer'ın ne toplamak için yapıldığını belgeliyor:- Bulut ve altyapı kimlik bilgileri: örnek meta verisi tokenları dahil AWS, Azure ve GCP anahtarları, ayrıca Kubernetes, Docker ve Terraform sırları
- Yapay zekâya özgü materyal: LLM sağlayıcı API anahtarları, LiteLLM proxy veritabanında saklanan kimlik bilgileri ve yapay zekâ kodlama araçlarının oturum dosyaları
- Geliştirici ve kayıt defteri tokenları: Git kimlik bilgileri, GitHub, npm ve PyPI tokenları, SSH, GPG ve TLS anahtarları
- Yerel sırlar: .env dosyaları, ortam değişkenleri, kabuk ve veritabanı geçmişleri
- Tarayıcı verileri: kayıtlı parolalar, çerezler ve otomatik doldurma girdileri
Yılın ikinci sürüm hattı olayı
Bu, LiteLLM'in 2026'daki ikinci ihlalli sürümü. Mart ayında TeamPCP olarak takip edilen bir aktör, projenin CI/CD hattındaki bir Trivy tarayıcısını ele geçirip bir PyPI tokenı çaldıktan sonra 1.82.7 ve 1.82.8 sürümlerine arka kapı koymuştu. Datadog iki kampanyayı yalnızca hedef üzerinden bağlıyor: aktörler arasında bir bağlantı kurulmuş değil. Rahatsız eden şablon şu — binlerce yapay zekâ yığınının merkezinde duran, sağlayıcı anahtarlarını ve bulut kimlik bilgilerini barındıran bir ağ geçidi, sekiz ayda iki kez dağıtım kanalının bozulduğunu gördü.Runbook'a göre ilk saat
Kodem göstergelerini ilk saat müdahale runbook'uyla birlikte yayımladı; LiteLLM'in tavsiyesi de en az onun kadar kesin. Ortak çekirdek:- litellm 1.107.0'ı paket proxy'sinde engelleyin, latest gibi kayan etiketleri dağıtmayı bırakın ve son temiz sürüm 1.106.2'yi hash ile sabitleyin — imajları digest ile
- Temizlik tamamlanmadan etkilenen makinelerde python veya pip çalıştırmayın; her yorumlayıcı başlangıcı yükü yeniden çalıştırır
- Makine ve konteynerleri izole edin, ardından cook.pth, cook.py, sitecustomize.py ve derlenmiş .pyc dosyalarını elle silin
- Temiz bir makineden döndürün: bulut rolleri, proxy veritabanında saklanan sağlayıcı anahtarları, LiteLLM master ve virtual anahtarları, veritabanı parolası, kayıt defteri ve GitHub tokenları
- 21 Ekim 11:39 UTC'den bu yana GetCallerIdentity çağrılarını ve beklenmeyen altyapıdan gelen kimlik bilgisi kullanımını denetlemek için bulut denetim kayıtlarını inceleyin