מחקר CloudSEK: פריצת שרשרת האספקה של LiteLLM חושפת אישורים של אלפי ארגונים

חוקרי CloudSEK פרסמו ממצאים חדשים על היקף הנזק ממתקפת שרשרת אספקה שהתגלתה במרץ 2026 בכלי הקוד הפתוח LiteLLM, שמשמש ארגונים רבים לניהול גישה למודלי שפה. לפי המחקר, החומר שדלף מהמתקפה עלול לחשוף אישורי גישה (credentials) של יותר מ-2,500 ארגונים ברחבי העולם, כולל חברות גדולות כמו NVIDIA, Cisco, Volkswagen, Siemens ו-Deloitte. חשוב להדגיש: מדובר בחשיפה פוטנציאלית שמבוססת על ניתוח חומר שדלף, לא באישור פריצה בפועל אצל כל אחד מהארגונים שצוינו.

הפרטים

שרשרת האירועים החלה עוד ב-19 במרץ 2026, כשתוקפים השתלטו על תשתית הפרויקט Trivy — סורק חולשות קוד פתוח נפוץ מאוד — בעקבות רוטציה חלקית של אישורי גישה, ודחפו קוד זדוני לתגיות גרסה. חמישה ימים לאחר מכן, ב-24 במרץ, פורסמו ל-PyPI שתי גרסאות זדוניות של LiteLLM (1.82.7 ו-1.82.8) שכללו קובץ שרץ אוטומטית עם עליית סביבת Python ואספו מפתחות ענן, מפתחות SSH, טוקנים של Kubernetes וסיסמאות מסדי נתונים ישירות מתוך צינורות CI/CD. הגרסאות הוסרו מ-PyPI תוך כ-40 דקות, אך לפי הדיווחים חלון ההתקנה בפועל נמשך עד שעות אחר הצהריים של אותו יום. הפגיעות הרלוונטית תועדה כ-CVE-2026-33634 ונוספה לרשימת ה-KEV של CISA כבר ב-26 במרץ. גוגל עוקבת אחרי הקבוצה התוקפת תחת השם UNC6780, וה-FBI הזהיר במפורש שגורמים המשויכים למתקפה צפויים לנצל את האישורים הגנובים גם חודשים רבים אחרי האירוע המקורי — אזהרה שהתממשה עם פרסום המחקר של CloudSEK חמישה חודשים מאוחר יותר.

נקודות לשים לב

• אם הארגון שלכם השתמש ב-LiteLLM או ב-Trivy בצינורות CI/CD בין מרץ 2026 להיום — בצעו רוטציה לכל האישורים שהיו נגישים לסביבת הבנייה באותה תקופה, גם אם אין אישור ודאי לפריצה אצלכם.
• אל תסתמכו על כך ש"עברו כמה חודשים ולא קרה כלום" — האזהרה הרשמית של ה-FBI היא שהאישורים הגנובים עדיין רלוונטיים לתקיפה גם זמן רב אחרי הדלף המקורי.
• המסקנה הרחבה: מתקפת שרשרת אספקה על כלי אחד (Trivy) יכולה להתפשט דרך תלות עקיפה לכלי אחר (LiteLLM) ומשם לאלפי ארגונים דרך צינורות בנייה אוטומטיים — כדאי למפות אילו כלי קוד פתוח רצים בהרשאות גבוהות בסביבות ה-CI/CD שלכם.
• מה לא נכון להסיק: הימצאות שם חברה ברשימת הארגונים שצוינו במחקר אינה הוכחה לפריצה מאושרת — מדובר בחשיפה פוטנציאלית שזוהתה מניתוח חומר שדלף, ולא כל ארגון שצוין אישר נזק בפועל.

מקורות: CloudSEK — AI Supply Chain Breach · The Hacker News — Malicious LiteLLM Releases Tied to Trivy Hack