LiteLLM'in MCP kimlik doğrulama açığı ABD federal yama listesine girdi

Ne oldu?#

CISA'nın bilinen sömürülen açıklar kataloğu (KEV), yalnızca vahşi ortamda gerçekten kullanıldığı doğrulanan açıkları listeler. 2 Eylül 2026'da kataloğa yedi kayıt birden eklendi; bunlardan biri, dil modeli geçidi olarak yaygın kullanılan LiteLLM'de. Kayıt, ürünün MCP Streamable HTTP uç noktasındaki hatalı kimlik doğrulamayı tarif ediyor ve ABD federal sivil kurumları için düzeltme son tarihini 16 Eylül 2026 olarak veriyor.

Aynı partideki beş kaydın son tarihi 5 Eylül'dü ve 7 Eylül itibarıyla o süre dolmuştu. Uzun süre tanınan iki kayıt, LiteLLM ile birlikte Starlette'teki istek kaçakçılığı açığıydı; ikisi de 16 Eylül'e bağlandı. Starlette, FastAPI'nin altındaki ASGI çatısı olduğu için model sunum yığınlarının büyük bölümünde dolaylı olarak bulunuyor. Yani tek bir KEV partisi, üretimdeki yapay zekâ altyapısının iki ayrı katmanına aynı anda dokundu.

Neden önemli?#

MCP, ajanların dış araçlara bağlandığı ortak arayüz olarak hızla standartlaştı. Bu mimaride geçit katmanı tek bir güven noktasıdır: geçit kimliği doğrularsa, arkasındaki tüm araçlar erişilebilir sayılır. Dolayısıyla geçitteki tek bir kimlik doğrulama hatası, ona bağlı bütün araçları aynı anda açar. Burada olan da bu: OAuth2 geçiş yolundaki bir yedekleme mantığı, başarısız anahtar doğrulamasını boş bir yetki nesnesiyle sürdürüyor.

İkinci önem katmanı sınıflandırmayla ilgili. Bir açığın KEV kataloğuna girmesi, onun teorik değil fiilen kullanılan bir saldırı yolu olduğunun kabul edilmesi demek ve ABD federal kurumları için bağlayıcı bir takvim başlatıyor. Kataloğun 1.709 kaydını taradığımızda Model Context Protocol uç noktasına ilişkin başka bir girdi bulamadık. Ajan araç katmanı bu listeye ilk kez bu kayıtla giriyor; MCP'yi "deneysel" saymak artık bir güvenlik gerekçesi değil.

Teknik ayrıntı#

• Açık, LiteLLM'in MCP Streamable HTTP uç noktasındaki OAuth2 geçiş (passthrough) yedek yolunda: anahtar doğrulaması başarısız olduğunda akış boş bir yetki nesnesiyle devam ediyor.
• Sonuç: uydurma bir Authorization başlığı taşıyan istek, kimlik doğrulamasını tümüyle atlayarak yapılandırılmış MCP araçlarını listeleyebiliyor ve çağırabiliyor.
• Etkilenen sürümler: 1.84.0'tan eski tüm LiteLLM sürümleri. Düzeltme 1.84.0 ile yayımlandı.
• Ağırlık CVSS 8.8; sınıflandırma CWE-287 (hatalı kimlik doğrulama) ve CWE-306 (kritik işlev için kimlik doğrulaması yok).
• Satıcı danışması, yükseltme mümkün değilse MCP rotalarını devre dışı bırakmayı ya da /mcp/ uçlarına erişimi ters vekil veya API ağ geçidi düzeyinde engellemeyi öneriyor.
• Kataloğa ekleme tarihi 2 Eylül 2026, federal düzeltme son tarihi 16 Eylül 2026; kayıt BOD 26-04 yönergesine bağlanıyor.

Kimleri etkiliyor?#

Doğrulama yöntemi#

1. 1Kataloğu indirin

   CISA'nın bilinen sömürülen açıklar kataloğu, herkese açık bir JSON akışı olarak yayımlanıyor; kayıt sayısı ve sürüm tarihi dosyanın başında duruyor.

2. 2Kaydı bulun

   CVE-2026-59822, BerriAI / LiteLLM satıcı-ürün çiftiyle, 2026-09-02 ekleme ve 2026-09-16 son tarihiyle listeleniyor; CWE alanında 287 ve 306 görünüyor.

3. 3Satıcı danışmasını okuyun

   Kaydın notlar alanı GHSA-7488-6r32-c95q numaralı GitHub güvenlik danışmasına bağlanıyor; etkilenen sürüm aralığı ve geçici önlemler orada tanımlı.

4. 4Kendi kurulumunuzu karşılaştırın

   1.84.0'tan eski her kurulum etkileniyor. Yükseltme planlanamıyorsa MCP rotalarını kapatmak, danışmanın önerdiği geçici çözüm.

Sinaptik yorumu#

Buradaki asıl haber açığın kendisi değil, nereye yazıldığı. MCP'nin standartlaşma hızı, ajan mimarilerinde geçit katmanını tek bir kritik nokta hâline getirdi ve bu katmanın yazılımı artık kritik altyapıyla aynı yama takvimine tabi. Pratik sonuç şu: ajan araçlarını "iç araç" sayıp kimlik doğrulamasını yalnızca geçide bırakan mimariler tek hatalık mesafede. Araç çağrısını sunucu tarafında da yetkilendirmek, mimari bir tercih olmaktan çıkıp asgari gereklilik hâline geliyor.