LiteLLM-aanval 2026: hoe TeamPCP via een vergiftigde Trivy-scanner 2500+ organisaties blootlegde
Op 19 maart 2026 compromitteert TeamPCP de open source vulnerability scanner Trivy van Aqua Security door kwaadaardige code in een Trivy afhankelijkheid te injecteren [12][14]. Op 24 maart 2026 om 10:39 UTC publiceert TeamPCP LiteLLM versie 1.82.7 op PyPI, gevolgd door 1.82.8.
Gepubliceerd doorAfbeeldingen gegenereerd met GPT Image 1.5
Op 19 maart 2026 compromitteert TeamPCP de open source vulnerability scanner Trivy van Aqua Security door kwaadaardige code in een Trivy afhankelijkheid te injecteren [12][14].
Op 24 maart 2026 om 10:39 UTC publiceert TeamPCP LiteLLM versie 1.82.7 op PyPI, gevolgd door 1.82.8.
PyPI zet de projecten om 11:19 UTC in quarantaine, maar de kwaadaardige pakketten worden in 40 minuten meer dan 119.000 keer gedownload [2][4][5].
Hudson Rock analyseert 153 GB aan gestolen data: 433.909 bestanden en 118.829 CI runner dumps, gekoppeld aan 2.488 bedrijfsdomeinen [2][12][13].
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Hier is de volledige scope en tijdlijn van de LiteLLM supply chain-aanval van maart 2026, samengesteld op basis van officiële disclosures, threat-intelligence-rapporten en onafhankelijke analyses.
Tijdlijn van de aanval
19 maart 2026 – TeamPCP compromitteert Aqua Security's Trivy, een veelgebruikte open-source vulnerability scanner, door kwaadaardige code in een Trivy-afhankelijkheid te injecteren .
24 maart 2026, ~10:39 UTC – LiteLLM versie wordt gepubliceerd op PyPI vanuit een build-pipeline die de inmiddels vergiftigde Trivy-scanner blindelings vertrouwt tijdens CI/CD security scanning .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "LiteLLM-aanval 2026: hoe TeamPCP via een vergiftigde Trivy-scanner 2500+ organisaties blootlegde"?
Op 19 maart 2026 compromitteert TeamPCP de open source vulnerability scanner Trivy van Aqua Security door kwaadaardige code in een Trivy afhankelijkheid te injecteren [12][14].
What are the key points to validate first?
Op 19 maart 2026 compromitteert TeamPCP de open source vulnerability scanner Trivy van Aqua Security door kwaadaardige code in een Trivy afhankelijkheid te injecteren [12][14]. Op 24 maart 2026 om 10:39 UTC publiceert TeamPCP LiteLLM versie 1.82.7 op PyPI, gevolgd door 1.82.8.
What should I do next in practice?
PyPI zet de projecten om 11:19 UTC in quarantaine, maar de kwaadaardige pakketten worden in 40 minuten meer dan 119.000 keer gedownload [2][4][5].
LiteLLM-aanval 2026: hoe TeamPCP via een vergiftigde Trivy-scanner 2500+ organisaties blootlegde
Op 19 maart 2026 compromitteert TeamPCP de open source vulnerability scanner Trivy van Aqua Security door kwaadaardige code in een Trivy afhankelijkheid te injecteren [12][14]. Op 24 maart 2026 om 10:39 UTC publiceert TeamPCP LiteLLM versie 1.82.7 op PyPI, gevolgd door 1.82.8.
Gepubliceerd doorAfbeeldingen gegenereerd met GPT Image 1.5
Op 19 maart 2026 compromitteert TeamPCP de open source vulnerability scanner Trivy van Aqua Security door kwaadaardige code in een Trivy afhankelijkheid te injecteren [12][14].
Op 24 maart 2026 om 10:39 UTC publiceert TeamPCP LiteLLM versie 1.82.7 op PyPI, gevolgd door 1.82.8.
PyPI zet de projecten om 11:19 UTC in quarantaine, maar de kwaadaardige pakketten worden in 40 minuten meer dan 119.000 keer gedownload [2][4][5].
Hudson Rock analyseert 153 GB aan gestolen data: 433.909 bestanden en 118.829 CI runner dumps, gekoppeld aan 2.488 bedrijfsdomeinen [2][12][13].
What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline viaAI-generated editorial hero image for What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What was the full scope and timeline of the March 2026 LiteLLM supply chain attack, including how TeamPCP compromised the build pipeline via. Article summary: I'll research this attack systematically, starting with the core details and then expanding to affected organizations and post mortem findings Here is the full scope and timeline of the March 2026 LiteLLM supply chain at. Topic tags: general web, ai, automation, workflow, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts
openai.com
Hier is de volledige scope en tijdlijn van de LiteLLM supply chain-aanval van maart 2026, samengesteld op basis van officiële disclosures, threat-intelligence-rapporten en onafhankelijke analyses.
Tijdlijn van de aanval
19 maart 2026 – TeamPCP compromitteert Aqua Security's Trivy, een veelgebruikte open-source vulnerability scanner, door kwaadaardige code in een Trivy-afhankelijkheid te injecteren .
24 maart 2026, ~10:39 UTC – LiteLLM versie wordt gepubliceerd op PyPI vanuit een build-pipeline die de inmiddels vergiftigde Trivy-scanner blindelings vertrouwt tijdens CI/CD security scanning .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "LiteLLM-aanval 2026: hoe TeamPCP via een vergiftigde Trivy-scanner 2500+ organisaties blootlegde"?
Op 19 maart 2026 compromitteert TeamPCP de open source vulnerability scanner Trivy van Aqua Security door kwaadaardige code in een Trivy afhankelijkheid te injecteren [12][14].
What are the key points to validate first?
Op 19 maart 2026 compromitteert TeamPCP de open source vulnerability scanner Trivy van Aqua Security door kwaadaardige code in een Trivy afhankelijkheid te injecteren [12][14]. Op 24 maart 2026 om 10:39 UTC publiceert TeamPCP LiteLLM versie 1.82.7 op PyPI, gevolgd door 1.82.8.
What should I do next in practice?
PyPI zet de projecten om 11:19 UTC in quarantaine, maar de kwaadaardige pakketten worden in 40 minuten meer dan 119.000 keer gedownload [2][4][5].
24 maart 2026, ~10:39–11:19 UTC – Ook versie 1.82.8 wordt uitgebracht. De kwaadaardige pakketten bevatten credential-stealing code die cloud credentials, SSH-sleutels, Kubernetes-configuraties, database credentials, API-sleutels en andere geheimen naar de server van TeamPCP exfiltreert .
24 maart 2026, ~11:19 UTC – PyPI plaatst het LiteLLM-project in quarantaine (~40 minuten na de eerste publicatie), maar het LiteLLM-team adviseert om elke installatie tot 16:00 UTC die dag als verdacht te beschouwen . De pakketten worden meer dan 119.000 keer gedownload tijdens het venster van ruwweg 2,5 uur .
Hoe de aanval werkte
TeamPCP maakte gebruik van een cascade in de supply chain: ze vergiftigden eerst Trivy (een open-source security scanner). Vervolgens raakte LiteLLM's CI/CD-pipeline – die de gecompromitteerde Trivy-afhankelijkheid gebruikte in de eigen beveiligingsscan – geïnfecteerd tijdens het buildproces, waardoor de aanvallers de PyPI-publicatiecredentials van LiteLLM in handen kregen . Dit stelde TeamPCP in staat om direct kwaadaardige releases naar PyPI te pushen, waarbij het normale GitHub-releaseproces van LiteLLM werd omzeild . Een analyse stelt dat de aanval "afkomstig was van de Trivy-afhankelijkheid die werd gebruikt in de CI/CD security scanning workflow van [LiteLLM]" .
Omvang van de datadiefstal
Hudson Rock verkreeg en analyseerde onafhankelijk het ruwe archief van de aanvallers: 153 GB met 433.909 bestanden en 118.829 CI-runner-dumps, toegeschreven aan 2.488 bedrijfsdomeinen.
CloudSEK reconstrueerde ongeveer 434.000 gestolen CI/CD-pijplijnbestanden en identificeerde meer dan 2.500 potentieel blootgestelde organisaties.
De FBI gaf op 2 juli 2026 een flash advisory (FLASH-20260702-01) uit, waarschuwend voor gerelateerde follow-on targeting .
Getroffen organisaties
De blootgestelde domeinen omvatten grote ondernemingen in de technologie-, financiële, industriële en telecomsector. Bevestigde, met naam genoemde organisaties uit meerdere bronnen zijn: Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens en BT Group. Hudson Rock merkte op dat het archief credentials bevatte die maanden na het incident "nog steeds geldig" waren voor veel van deze organisaties .
Kevin Beaumonts post-incident testen
Na het Ars Technica-artikel over de inbraak testte Kevin Beaumont onafhankelijk gecompromitteerde credentials van een groot Amerikaans techbedrijf dat beweerde "alles te hebben geroteerd." Volgens een responsible-disclosure-beleid testte hij de credentials en ontdekte dat "bijna elke credential werkte" – wat betekent dat de organisatie zijn gecompromitteerde geheimen in werkelijkheid niet had geroteerd, ondanks de bewering .
Dringende aanbeveling
Beschouw alle geheimen, API-sleutels, cloud credentials, SSH-sleutels, Kubernetes-configuraties en andere gevoelige gegevens die toegankelijk waren voor LiteLLM versies 1.82.7 of 1.82.8 als volledig gecompromitteerd. Onmiddellijke rotatie van elke credential die mogelijk is blootgesteld tijdens het venster van 24 maart 2026 is essentieel – ongeacht of een organisatie denkt ze al te hebben geroteerd . De aanval wordt beschouwd als de grootste AI-infrastructuur-supply-chain-inbraak van 2026, en de gestolen data blijft een aanhoudende dreiging voor follow-on-intrusies, zoals aangetoond door Beaumonts credential-testen .
en.cryptonomist.chAI Supply Chain Breach Exposes 2,500+ Companies in 2026
24 maart 2026, ~10:39–11:19 UTC – Ook versie 1.82.8 wordt uitgebracht. De kwaadaardige pakketten bevatten credential-stealing code die cloud credentials, SSH-sleutels, Kubernetes-configuraties, database credentials, API-sleutels en andere geheimen naar de server van TeamPCP exfiltreert .
24 maart 2026, ~11:19 UTC – PyPI plaatst het LiteLLM-project in quarantaine (~40 minuten na de eerste publicatie), maar het LiteLLM-team adviseert om elke installatie tot 16:00 UTC die dag als verdacht te beschouwen . De pakketten worden meer dan 119.000 keer gedownload tijdens het venster van ruwweg 2,5 uur .
Hoe de aanval werkte
TeamPCP maakte gebruik van een cascade in de supply chain: ze vergiftigden eerst Trivy (een open-source security scanner). Vervolgens raakte LiteLLM's CI/CD-pipeline – die de gecompromitteerde Trivy-afhankelijkheid gebruikte in de eigen beveiligingsscan – geïnfecteerd tijdens het buildproces, waardoor de aanvallers de PyPI-publicatiecredentials van LiteLLM in handen kregen . Dit stelde TeamPCP in staat om direct kwaadaardige releases naar PyPI te pushen, waarbij het normale GitHub-releaseproces van LiteLLM werd omzeild . Een analyse stelt dat de aanval "afkomstig was van de Trivy-afhankelijkheid die werd gebruikt in de CI/CD security scanning workflow van [LiteLLM]" .
Omvang van de datadiefstal
Hudson Rock verkreeg en analyseerde onafhankelijk het ruwe archief van de aanvallers: 153 GB met 433.909 bestanden en 118.829 CI-runner-dumps, toegeschreven aan 2.488 bedrijfsdomeinen.
CloudSEK reconstrueerde ongeveer 434.000 gestolen CI/CD-pijplijnbestanden en identificeerde meer dan 2.500 potentieel blootgestelde organisaties.
De FBI gaf op 2 juli 2026 een flash advisory (FLASH-20260702-01) uit, waarschuwend voor gerelateerde follow-on targeting .
Getroffen organisaties
De blootgestelde domeinen omvatten grote ondernemingen in de technologie-, financiële, industriële en telecomsector. Bevestigde, met naam genoemde organisaties uit meerdere bronnen zijn: Amazon (AWS), Samsung, Cisco, Microsoft, NVIDIA, Salesforce, Volkswagen, FedEx, Deloitte, ServiceNow, S&P Global, Siemens en BT Group. Hudson Rock merkte op dat het archief credentials bevatte die maanden na het incident "nog steeds geldig" waren voor veel van deze organisaties .
Kevin Beaumonts post-incident testen
Na het Ars Technica-artikel over de inbraak testte Kevin Beaumont onafhankelijk gecompromitteerde credentials van een groot Amerikaans techbedrijf dat beweerde "alles te hebben geroteerd." Volgens een responsible-disclosure-beleid testte hij de credentials en ontdekte dat "bijna elke credential werkte" – wat betekent dat de organisatie zijn gecompromitteerde geheimen in werkelijkheid niet had geroteerd, ondanks de bewering .
Dringende aanbeveling
Beschouw alle geheimen, API-sleutels, cloud credentials, SSH-sleutels, Kubernetes-configuraties en andere gevoelige gegevens die toegankelijk waren voor LiteLLM versies 1.82.7 of 1.82.8 als volledig gecompromitteerd. Onmiddellijke rotatie van elke credential die mogelijk is blootgesteld tijdens het venster van 24 maart 2026 is essentieel – ongeacht of een organisatie denkt ze al te hebben geroteerd . De aanval wordt beschouwd als de grootste AI-infrastructuur-supply-chain-inbraak van 2026, en de gestolen data blijft een aanhoudende dreiging voor follow-on-intrusies, zoals aangetoond door Beaumonts credential-testen .
en.cryptonomist.chAI Supply Chain Breach Exposes 2,500+ Companies in 2026
infostealers.comLargest AI Supply Chain Breach of 2026: LiteLLM Hack Impacts Thousands of Global Enterprises - Claim Your Ethical Disclosure
plainsec.comLiteLLM Breach Grew Into CI Secret Spill · PlainSec
docs.litellm.aiSecurity Townhall Updates