ל-LiteLLM יש נתיב שתפקידו לבדוק קוד שהמשתמש כותב בעצמו, /guardrails/test_custom_code. לפי הרשומה אפשר להגיע דרכו להרצת קוד שרירותי על השרת, וחשבון עם הרשאות בסיסיות מספיק בשביל זה. הציון הוא 8.8 מתוך 10, ואין דיווח על ניצול בשטח.

מה החולשה?

guardrail, בשירות שמתווך בין קוד לבין מודלי שפה, הוא כלל שמסנן מה נכנס אל המודל ומה חוזר ממנו: חסימה של פרטים אישיים, סינון תכנים, בדיקה שהתשובה בפורמט שהוגדר. מי שכותב כלל כזה בעצמו צריך דרך לבדוק שהוא עובד, ובשביל זה קיים נתיב הבדיקה.

נתיב כזה מתחיל מעמדת פתיחה בעייתית, כי כל תכליתו היא להריץ קוד שמישהו הביא מבחוץ. ההגנה עליו אינה יכולה להיות הימנעות מהרצת קוד זר, אלא רק שתי גדרות: מי מורשה לקרוא לו, ומה הקוד מורשה לעשות בזמן שהוא רץ.

לפי הרשומה, הגדרות האלה לא החזיקו. היא מתארת את הדרך אל הרצת קוד שרירותי כעוברת בכתיבה מחדש של ה-bytecode, קוד הביניים שמנוע השפה מריץ בפועל אחרי שהקוד שנכתב תורגם אליו. מעבר לזה הרשומה אינה מפרטת, והפירוט הטכני נמצא בייעוץ של חברת האבטחה x41 D-Sec.

הסיווג הוא CWE-420, ערוץ חלופי בלתי מוגן. זה השם למצב שבו לפעולה כלשהי יש דרך נוספת, והיא אינה שמורה כמו הדרך הראשית. כאן הדרך הראשית אל הרצת קוד על השרת היא גישת מנהל, והדרך החלופית היא נתיב בדיקה שחשבון רגיל יכול לפנות אליו.

הדירוג מסכם את זה בשורה: התקיפה מגיעה מהרשת, נדרשות הרשאות נמוכות ולא גישת מנהל, והפגיעה בסודיות, בשלמות ובזמינות גבוהה בכולן.

מי מושפע?

הרשומה מסמנת כחשוף כל מה שעד 8 באפריל 2026, ובזה היא חריגה: היא מסמנת תאריך במקום מספר גרסה. השאלה הרגילה, איזו גרסה מותקנת אצלי, אינה מספיקה כאן, וצריך לדעת גם מאיזה מועד הבנייה שרצה אצלכם.

הקהל הוא מי שמריץ LiteLLM כשכבת גישה מרוכזת אל מודלי שפה. בישראל אלה בעיקר חברות תוכנה וסטארטאפים שחיברו מוצר לכמה ספקי מודלים, וצוותי מחקר ופיתוח שהקימו שכבה כזאת לעצמם. זה אינו מוצר שנמצא על מחשב פרטי.

חלק מהמשתמשים אינם מתקינים אותו ישירות אלא מקבלים אותו כחבילה מנוהלת. רד האט פרסמה לחולשה הזאת שני עדכוני אבטחה, RHSA-2026:24866 ו-RHSA-2026:30056.

ומה שבאמת קובע כאן את גודל החשיפה הוא מי מחזיק חשבון. לא מבקר אנונימי מהאינטרנט, אלא מי שיש לו גישה בכלל: עובד, קבלן, שותף בפרויקט מחקר, או מפתח שקיבל חשבון לפני שנה וכבר אינו בחברה.

האם מנוצלת בפועל?

אין דיווח על ניצול, והחולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז את החולשות שיש עליהן ראיות לניצול בשטח.

מה שכן, המידע הדרוש לניצול פומבי ומסודר. הייעוץ של x41 D-Sec מתאר את החולשה בפירוט, ורד האט פרסמה גם היא דף משלה לחולשה. הרשומה עלתה ל-NVD ב-10 באפריל 2026 והעדכון האחרון שלה הוא מ-15 ביולי 2026.

מה עושים?

1. הרשומה אינה נוקבת בגרסה מתוקנת, ולכן ההשוואה היא מול התאריך: כל מה שעד 8 באפריל 2026 חשוף, והעדכון צריך להיות לבנייה מאוחרת ממנו. את האישור שהתיקון נמצא בגרסה שבחרתם אפשר לקבל בדף החולשה של רד האט או בייעוץ של x41 D-Sec.
2. מי שמקבל את LiteLLM כחבילה מנוהלת צריך את העדכון מאותו ערוץ ולא התקנה ידנית מעליו. מספרי העדכונים הם RHSA-2026:24866 ו-RHSA-2026:30056.
3. בדקו מי בכלל יכול לפנות אל /guardrails/test_custom_code. הרשומה נוקבת בנתיב המדויק, כך שאפשר לחפש אותו בלוגים של השרת ולראות אם מישהו פנה אליו עד היום. אם אתם לא משתמשים בבדיקת guardrail מותאמת, חסימת הנתיב בשכבת הכניסה לשרת מוציאה אותו מהמשחק עד לעדכון.
4. עברו על רשימת החשבונות במערכת ומחקו את מי שאינו צריך גישה. בחולשה הזאת לא נדרשת גישת מנהל אלא חשבון, וחשבון אחד שנשכח הוא כל מה שצריך.