شهد يوم 21 أكتوبر 2026 نشر مهاجمين للنسخة 1.107.0 المخترقة من مكتبة LiteLLM على فهرس PyPI وضمن صور Docker، وتضمنت النسخة برمجية لسرقة بيانات الدخول وباباً خلفياً وفقاً لتحليل StepSecurity. ويصل حجم الانتشار المحتمل للمكتبة إلى 23 مليون تنزيل أسبوعياً استناداً إلى بيانات Socket، ويمثل هذا الرقم معدل التنزيل العام وليس عدد من ثبتوا النسخة المصابة فعلياً.
جرى عزل النسخة المخترقة في فهرس PyPI خلال اليوم ذاته، وتولت جهات التطوير إزالة الصور المصابة في تمام الساعة 14:32 بالتوقيت العالمي.
تتضمن الحزم المصابة ملفاً يحمل اسم cook.pth، وتكمن خطورته في تشغيل الشيفرة الخبيثة عند كل عملية بدء لبيئة Python على الجهاز المستهدف، متجاوزاً الحاجة إلى استيراد مكتبة LiteLLM. تعمل برمجية سرقة المعلومات التي تحمل اسم privcollect على تجميع مفاتيح السحابة، ومفاتيح SSH، ومفاتيح GPG، وبيانات المتصفحات، والمتغيرات البيئية، وإعدادات أدوات الذكاء الاصطناعي، إضافة إلى قاعدة بيانات وكيل LiteLLM في حال توفرها. وترسل هذه البيانات مجمعة ومشفرة إلى النطاق litellm.dev، وهو نطاق سجله المهاجم مسبقاً في 13 أكتوبر.
يتولى ملف sitecustomize.py تشغيل عملية خلفية تعمل على قراءة اسم مضيف كل ساعة من ملف مخصص ضمن مستودع على منصة GitHub خاضع لسيطرة المهاجم. وحال العثور على اسم المضيف، تبدأ العملية بتنزيل شيفرة Python من ذلك المضيف عبر المسار /codepy لتنفيذها مباشرة. يفشل عمل هذا الباب الخلفي بصمت على أنظمة Windows، بينما تستمر privcollect في أداء مهامها.
تجدر الإشارة إلى أن الملف كان فارغاً وقت النشر، وجرى حذف حساب المهاجم على GitHub في اليوم ذاته، في حين تمكن ماسح Socket من رصد الحزم السبع المصابة بعد مرور سبع دقائق فقط من لحظة نشرها.
أوضحت LiteLLM عبر تحديث ضمن بلاغ المشروع على GitHub أن عملية النشر تمت من خلال حسابات تعود لثلاثة من مهندسيها، باستخدام ما يبدو أنها رموز مصادقة GitHub CLI OAuth مسروقة، حيث تولى حساب تشغيل مسار النشر بينما قدم حساب آخر الموافقة المطلوبة. وأضافت الشركة في تحديث لاحق أن المهاجم تمكن من تعطيل حماية الفروع باستخدام حساب أحد مالكي المنظمة على GitHub، ليعمد بعدها إلى تشغيل المسار على مستودع مقلد يحمل اسم Berri-AI عوضاً عن الاسم الأصلي BerriAI، متيحاً بذلك توقيع الحزم البرمجية الخبيثة ونشرها.
ترجح LiteLLM حصول المهاجم على الرموز من سجلات تابعة لنسخة داخلية من المكتبة كانت مكشوفة عبر الإنترنت، حيث رُصد حساب مستخدم يحمل اسماً اعتيادياً غير مألوف للمنظمة، وتحوم الشكوك حول دخوله عبر ثغرة أمنية عولجت مؤخراً، رغم عدم وجود تأكيد قاطع لذلك. وأشارت الشركة إلى رصدها حالات محددة يقوم فيها نظام Claude Code بتضمين رمز GitHub CLI OAuth الخاص بالمستخدم داخل متن الاستجابة، لتظهر هذه الرموز لاحقاً ضمن سجلات LiteLLM عند توثيق تلك الاستجابات.
توصي جهات التحليل في StepSecurity بضرورة التعامل مع أي جهاز ثبت النسخة 1.107.0 أو شغل صورة مصابة بوصفه مخترقاً بالكامل، وتدعو إلى العودة لتثبيت النسخة 1.106.2 أو صورتها الآمنة بالبصمة. وتؤكد التوصيات على إلزامية تدوير جميع بيانات الدخول المتاحة للجهاز المخترق، ويشمل ذلك مفاتيح السحابة، ومفاتيح SSH، ومفاتيح GPG، وأسرار أنظمة التكامل المستمر، وصولاً إلى مفاتيح مزودي النماذج والمفتاحين الرئيسي والملحي في أجهزة الوكيل. وتتضمن الإجراءات الوقائية المقترحة حجب النطاق litellm.dev كلياً، ومراجعة السجلات بحثاً عن أي طلبات موجهة إلى المسار /codepy، نظراً لكون ظهورها يؤكد تنفيذ شيفرة المهاجم فعلياً.
أكدت LiteLLM في تحديثين صدرا يومي 21 و22 أكتوبر أن سجلاتها مغلقة حالياً أمام أي إصدار جديد، مع إيقاف كامل لإصداراتها الاعتيادية. وتواصل الشركة العمل على حصر كافة رموز المصادقة ضمن منظمتها بهدف إبطالها أو تدويرها، في حين لم تتوصل التحقيقات حتى اللحظة إلى الآلية الدقيقة التي مكنت المهاجم من تحقيق اختراقه الأولي.
