40 Dakikada 2.500+ Şirketi İfşa Eden Saldırı: Mart 2026 LiteLLM Tedarik Zinciri İhlalinin Tam Zaman Çizelgesi

TeamPCP, çalınan PyPI yayınlama kimlik bilgilerini kullanarak bu sürümleri doğrudan PyPI'ye gönderdi ve LiteLLM'in normal GitHub tabanlı sürüm sürecini atladı . Grup ayrıca aynı zaman diliminde 15 kuruluş deposunun yüzünü değiştirme, 182 kişisel depoyu silme ve 70 özel BerriAI (LiteLLM'in ana kuruluşu) deposunu herkese açık hale getirme gibi ek kötü amaçlı faaliyetlerde bulundu .

Saldırı Nasıl Çalıştı: Kademeli Bir Tedarik Zinciri İhlali

Saldırı, kademeli bir tedarik zinciri ihlalinin ders kitabı niteliğinde bir örneğidir. TeamPCP doğrudan LiteLLM'e saldırmadı. Bunun yerine, bir güven zincirini istismar etti:

1. İlk ihlal: Trivy – 19 Mart'ta TeamPCP, döndürülmüş ancak tamamen iptal edilmemiş bir kimlik bilgisi kullanarak Trivy GitHub Actions hattına erişim sağladı . Zehirli tarayıcıyı yükleyen herhangi bir CI/CD çalıştırıcısına kimlik bilgisi çalan bir yük bulaştıran kötü amaçlı Trivy sürümleri yayınladılar.
2. İkinci ihlal: LiteLLM – LiteLLM'in kendi CI/CD hattı, bir güvenlik adımı olarak Trivy güvenlik açığı tarayıcısını otomatik olarak yükledi. Hat 24 Mart'ta çalıştığında, zehirlenmiş Trivy sürümünü çekti. Trivy'nin içindeki kötü amaçlı yük, CI çalıştırıcısının ortamını tarayarak LiteLLM'in PyPI yayınlama token'larını ve GitHub kimlik bilgilerini çıkardı .
3. Üçüncü ihlal: PyPI kullanıcıları – TeamPCP, LiteLLM'in PyPI kimlik bilgilerini ele geçirerek PyPI'ye kötü amaçlı LiteLLM sürümleri gönderdi.

   pip install litellm==1.82.7

   veya 1.82.8 komutunu çalıştıran veya CI/CD hattı otomatik olarak en son sürümü çeken herhangi bir geliştirici veya kuruluşun derleme ortamı sırlar açısından taranacaktı.

CloudSEK'in belirttiği gibi, "saldırı, [LiteLLM'in] CI/CD güvenlik tarama iş akışında kullanılan Trivy bağımlılığından kaynaklandı" . LiteLLM ihlalinin kendisi için bir CVE yoktur çünkü LiteLLM'in kendi kodunda güvenlik açığı yoktu; güvenlik açığı, LiteLLM'in derleme hattı ile güvenlik tarama aracı arasındaki güven ilişkisindeydi .

Veri Sızdırmanın Boyutu

Veri hırsızlığının tam boyutu, beş ay sonra birden fazla tehdit istihbaratı firmasının analizlerini yayınlamasıyla netleşti:

• Hudson Rock, saldırganların ham sızdırma arşivini bağımsız olarak elde etti ve analiz etti: 2.488 kurumsal alana atfedilen tam olarak 433.909 dosya ve 118.829 CI çalıştırıcı dökümü içeren 153 GB'lık bir RAR dosyası .
• CloudSEK, yaklaşık 434.000 ele geçirilmiş CI/CD hattı dosyasını yeniden yapılandırdı ve 2.500'den fazla potansiyel olarak ifşa olmuş kuruluş tespit etti . CloudSEK, olayı 2026'da şu ana kadar tespit edilen AI altyapısını hedef alan en büyük tedarik zinciri saldırısı olarak tanımladı .
• Ele geçirilen veriler arasında bulut platformu kimlik bilgileri (AWS, GCP, Azure), AI sağlayıcı API anahtarları (OpenAI, Anthropic, Cohere vb.), SSH özel anahtarları, Kubernetes hizmet hesabı token'ları, Docker kayıt defteri girişleri, .env dosyaları, veritabanı bağlantı dizeleri, Slack imzalama sırları, Salesforce istemci sırları ve Git kimlik bilgileri yer alıyordu .

FBI, 2 Temmuz 2026'da bir flaş uyarı (FLASH-20260702-01) yayınlayarak, bağlantılı aktörlerin TeamPCP kampanyası sırasında sızdırılan kimlik bilgilerini ilk ihlalden çok sonra silah haline getirme olasılığının yüksek olduğu konusunda uyardı. Kuruluşlara, ilgili maruz kalma pencereleri sırasında erişilebilen CI/CD sırlarını, yayınlama token'larını ve bulut kimlik bilgilerini döndürmelerini tavsiye etti .

Etkilenen Kuruluşlar

İfşa olan alanlar arasında teknoloji, finans, endüstri ve telekomünikasyon sektörlerindeki büyük işletmeler yer alıyordu. Birden fazla kaynaktan doğrulanan adlandırılmış kuruluşlar şunları içerir :

• Teknoloji: Amazon (AWS), Microsoft, NVIDIA, Cisco Systems, Samsung Electronics, Salesforce, ServiceNow, X Corp (eski adıyla Twitter), Zscaler, Roku, Epic Games
• Endüstriyel: Volkswagen, Siemens, FedEx
• Finans: S&P Global, Deloitte
• Telekom: BT Group, Vodafone

CloudSEK'in veri seti, bu kuruluşlara ait kurumsal alan adları, depolar, kimlik bilgileri veya altyapı ile bağlantılı "yüksek güvenilirlikli eşleşmeler" içeriyordu . Hudson Rock, arşivin bu kuruluşların çoğu için olaydan aylar sonra bile "hâlâ geçerli" kimlik bilgileri içerdiğini belirtti .

Kevin Beaumont'un Olay Sonrası Testleri

İhlalin üzerinden beş ay geçtikten sonra, bağımsız güvenlik araştırmacısı Kevin Beaumont kritik bir gerçeklik kontrolü gerçekleştirdi. Ars Technica'nın ihlalle ilgili raporunun ardından Beaumont, "her şeyi döndürdüğünü" kamuoyuna açıklayan büyük bir ABD teknoloji şirketinin ele geçirilen kimlik bilgilerini test etti. Sorumlu bir açıklama politikası kullanarak kimlik bilgilerini test etti ve "neredeyse her birinin çalıştığını" buldu; bu, kuruluşun ele geçirilen sırlarını söylemesine rağmen aslında döndürmediği anlamına geliyordu .

Bu bulgu, kimlik bilgisi döndürme taahhütleri ile fiili kimlik bilgisi döndürme işlemlerinin genellikle iki farklı şey olduğunu ve bu saldırıdan çalınan kimlik bilgilerinin hâlâ canlı bir tehdit oluşturduğunu gösteren kritik bir ders niteliğindedir.

Acil Tavsiye

LiteLLM 1.82.7 veya 1.82.8 sürümlerine erişilebilen tüm sırları, API anahtarlarını, bulut kimlik bilgilerini, SSH anahtarlarını, Kubernetes yapılandırmalarını ve diğer hassas verileri tamamen ele geçirilmiş olarak kabul edin. Kuruluşunuzun bunları zaten döndürdüğüne inanıp inanmadığına bakılmaksızın, 24 Mart 2026 penceresinde ifşa olmuş olabilecek her kimlik bilgisinin derhal döndürülmesi zorunludur .

Bu saldırı, 2026'nın en büyük AI altyapı tedarik zinciri ihlali olarak kabul ediliyor ve çalınan veriler, Beaumont'un kimlik bilgisi testleriyle de gösterildiği gibi, takip saldırıları için kalıcı bir tehdit oluşturmaya devam ediyor . FBI, takip hedeflemelerinin muhtemel olduğu konusunda uyardı ve 153 GB'lık arşivdeki geçerli kimlik bilgileri hazinesi, tehdit aktörleri için sürekli bir hediye niteliğinde.

Kuruluşunuz 24 Mart 2026'da LiteLLM'i herhangi bir şekilde kullandıysa, ele geçirildiğini varsayın. Kötü amaçlı .pth dosyasını (litellm_init.pth) ve kalıcılık arka kapısını (~/.config/sysmon/sysmon.py) kontrol edin,

pip show litellm