CISA, sömürülen LiteLLM ve Kestra açıklarını KEV kataloğuna ekledi: AI gateway'leri artık hedefte

CISA'nın sömürülen açık listesi artık AI bileşenlerini de içeriyor

2 Eylül 2026'da CISA, Known Exploited Vulnerabilities (KEV) kataloğuna yedi açık ekledi ve bunların ikisi kurumsal teknoloji yığınının görece yeni bir köşesinden geldi: dil modeli sağlayıcılarına gelen istekleri proxy eden bir AI gateway olan LiteLLM ve bir workflow orchestration platformu olan Kestra. Güncellemeye ilişkin bir dev.to analizine göre, AI altyapısı bileşenlerinin katalogda aktif olarak sömürülen hedefler olarak ilk kez görünmesi, bu tür duyurulara genellikle hâkim olan VPN ve web framework hatalarının yanında listelenmeleriyle gerçekleşti. Bir KEV kaydı, CISA'nın bir açığın sahada kötüye kullanıldığına dair kanıt bulunduğu anlamına gelir ve ABD federal kurumları için yama süreleri belirler — diğer herkes için de hızlı davranmak gerektiğinin güçlü bir işaretidir.

İki açığın neye izin verdiği

LiteLLM açığı CVE-2026-59822 olarak takip ediliyor; CVSS ölçeğinde 8.8 puanla derecelendirilmiş bir hatalı kimlik doğrulama (improper authentication) hatası. Kestra açığı ise CVE-2026-49869 olup, azami CVSS puanı olan 10.0 taşıyan bir işletim sistemi komut enjeksiyonu (command injection). İki ürün de klasik bir çevre (perimeter) cihazı değil. Dev.to yazısında açıklandığı gibi, ikisi de kuruluşların model trafiğini yönlendirmek ve veri hatlarını koordine etmek için konuşlandırdığı uygulama katmanı servisleri ve bu, riskleri ciddi şekilde değiştiriyor: bu sistemlerde rutin olarak model sağlayıcıları, veritabanları ve diğer aşağı akış servislerine ait API anahtarları bulunuyor. Başarılı bir saldırı bu nedenle yalnızca aksayan bir iş yükü değil, ele geçirilmiş kimlik bilgileri havuzu da sağlayabilir.

Gerçekte ne kadarı erişilebilir

Sorunun büyüklüğünü ölçmek için yazar, 19 Eylül 2026'da ZoomEye arama motorunu servis parmak izleriyle sorguladı. LiteLLM sorgusu internete açık 34.412 eşleşme döndürürken, Kestra 126 eşleşme döndürdü. Kıyas için, bir diğer AI'ya yakın platform olan Langflow 18.448 host ile eşleşti ve sömürü raporlarında adı geçen analiz aracı Metabase 115.725 eşleşme verdi. Yazıda önemli bir uyarı da var: bu rakamlar bir parmak iziyle eşleşen varlıkları sayıyor; açık bulunduğu veya ele geçirildiği doğrulanmış örnekleri değil.

Analize göre iki AI altyapısı rakamı arasındaki farkın kendisi de öğretici. LiteLLM'nin daha büyük ayak izi, AI gateway'lerin ne kadar sık paylaşılan servisler olarak konuşlandırıldığını yansıtıyor: birçok iç istemciye ve bazı durumlarda genel internete erişilebilirler. Kestra'nın daha küçük sayısı onu daha güvenli yapmıyor, çünkü komut yürütme potansiyeli taşıyan tek bir açıkta orchestration platformu bile başlı başına ciddi bir risk.

Operatörler şimdi ne yapmalı

dev.to yazısı kısa bir eylem planı sunuyor. AI altyapısını iç tesisat değil, hassas bir varlık sınıfı olarak değerlendirin: gateway'ler ve orchestrator'lar kimlik bilgileri tutar ve internete açık olmamalıdır. KEV listesindeki bileşenleri derhal yamalayın. Çalınan kimlik bilgileri bu saldırı sınıfının ana sonuçları olduğundan, bir gateway erişilebilir olabilecekse model sağlayıcı anahtarlarını döndürün. Her çağıranda kimlik doğrulama isteyin ve bu erişimi loglayın. Son olarak, AI servislerini rutin erişim izleme kapsamına alın — bunları dışarıdan sorgulayın, sonuçları varlık envanteriyle karşılaştırın ve beklenmedik her eşleşmeyi hemen ilgilenilmesi gereken bir bulgu olarak değerlendirin.

Neden önemli

KEV kaydı, saldırı yüzeyinin resmen AI katmanını da içerecek şekilde genişlediğinin bir işareti. LiteLLM gibi gateway'ler, model anahtarlarının, veritabanı kimlik bilgilerinin ve workflow token'larının kesiştiği bir darboğazda yer alıyor; dolayısıyla tek bir ele geçme, bu kimlik bilgilerinin dokunduğu her şeyde hızla yayılıyor. Çevrimiçinde görünür on binlerce parmak izi eşleşmeli LiteLLM kurulumu varken, kuruluşların kayda değer bir kısmı AI araçlarının kamuya açık olduğunu büyük olasılıkla fark etmiyor bile. VPN'ler, firewall'lar ve web framework'ler için zaten erişim yönetimi yürüten savunmacıların, aynı incelemeyi AI yığınlarını oluşturan servislere genişletmeleri için somut bir nedenleri var.