LiteLLM teilte am 21. Oktober 2026 mit, dass Angreifer die Release-Pipeline kompromittiert und ein bösartiges Paket litellm==1.107.0 sowie kompromittierte Docker-Tags auf PyPI veröffentlicht hatten.
Laut dem LiteLLM-Incident-Report war das schädliche PyPI-Release von 11:39 bis 13:23 UTC verfügbar. Die betroffenen Container-Tags — v1.107.0, latest, main-latest und main-stable — waren von 11:46 bis 14:20 UTC öffentlich erreichbar, bevor sie entfernt oder neu zugewiesen wurden. LiteLLM erklärte zudem, dass Kunden mit der privaten Enterprise-Registry nicht betroffen waren, und empfahl, 1.106.2 oder eine andere frühere, explizit angegebene Version zu pinnen.
Das Risiko ging über Anwendungen hinaus, die LiteLLM aktiv aufrufen. Das bösartige Release nutzte cook.pth und sitecustomize.py, wodurch Code beim Start des Python-Interpreters ausgeführt werden kann. Dadurch kann eine infizierte Umgebung die Schadlast ausführen, bevor eine Anwendung das Paket überhaupt importiert. Die Analyse von Datadog beschreibt die Malware als Zugangsdaten-Dieb mit Fähigkeiten zur Remote-Code-Ausführung, der auf Geheimnisse von Cloud-, Entwicklungs-, Browser- und KI-Diensten abzielt.
Für Teams, die das schädliche Paket oder die betroffenen Tags bezogen haben, ist dies nicht nur ein Rollback-, sondern ein Umgebungsproblem: Prüfen Sie Hosts und Container auf Kompromittierungsindikatoren und rotieren Sie erreichbare Zugangsdaten.