Der KEV-Eintrag zu CVE-2026-48710 geht auf eine Analyse von Horizon3.ai aus dem Juni 2026 zurück. Demnach lässt sich die Schwachstelle mit einer weiteren Lücke in Berri LiteLLM (CVE-2026-42271, CVSS 8.7) verketten, um die Authentifizierung zu umgehen und Schadcode aus der Ferne auf verwundbaren LiteLLM-Installationen auszuführen. CVE-2026-42271 wurde etwa zeitgleich ebenfalls in den KEV-Katalog aufgenommen.
Laut Wiz stehen Akteure im Umfeld der Ransomware Qilin (auch als Agenda bekannt) mit der aktiven Ausnutzung dieser Kette in Verbindung. Die Cloud-Sicherheitsplattform berichtet außerdem von Ausnutzungsversuchen mit CVE-2026-59822 gegen ihre Honeypots, mit denen Endpunkte zur Modell-Auflistung abgefragt wurden.
Die Aufnahme von CVE-2026-49869 beruht auf einem Bericht von Microsoft, wonach ein Angreifer die Lücke Ende Juni 2026 wahrscheinlich genutzt hat, um eine Reverse Shell aufzubauen, die Docker-Container-Umgebung auszukundschaften, Abwehrmechanismen zu umgehen, einen Kryptowährungs-Miner abzulegen und Daten abzugreifen. „Die Kestra-Kompromittierung offenbarte vier Wirkungspfade: Shell-Ausführung über die Workflow-Engine, Offenlegung der Container-Umgebung über den Zugriff auf den Docker-Socket, Kaperung von Host-Ressourcen durch den Einsatz eines Miners und anschließende Datensammlung über die Ausführung von Workflow-Aufgaben", so Microsoft. Ein späteres Ereignis mit einer curl-Pipe-Shell habe die gesammelten Ausgaben kodiert und über Kestras eigene Key-Value-Schnittstelle abgelegt — „was die Abhängigkeit von eigenständigen Dateiartefakten verringerte".
Parallel dazu beschreibt Microsoft Einbrüche in LiteLLM-Gateways über CVE-2026-42271 und CVE-2026-48710, bei denen ein XMRig-Miner als ELF-Binary ausgeliefert wird. Zuvor nehmen die Angreifer einen Fingerabdruck des Hosts und beenden konkurrierende Mining-Prozesse. Mit zuvor erbeuteten Datenbankinformationen greifen sie auf die PostgreSQL-Ebene hinter LiteLLM zu und lesen Tabellen wie LiteLLM_ProxyModelTable und LiteLLM_VerificationToken aus, um an Modellkonfigurationen, Schlüsselmaterial vorgelagerter Anbieter, Provider-Endpunkte und vom Proxy ausgestellte virtuelle Schlüssel zu gelangen. Persistenz stellen die Angreifer über Änderungen an „~/.ssh/authorized_keys" her, hinzu kommen Command-and-Control-Kanäle und Techniken zur Verschleierung.
Microsoft und Wiz sehen darin ein Muster: KI-Infrastruktur wie LiteLLM, Flowise, LangChain, Langflow, ChromaDB, Ollama, Marimo und MCP-Server sei zu einem lohnenden Ziel geworden — für den Diebstahl von API-Schlüsseln, Zugriff auf Backend-Systeme, dauerhaften Zugang, blinde Prompt-Injections, KI-spezifische Post-Exploitation und die Monetarisierung gekaperter Hosts durch Kryptomining.
In einer weiteren von Microsoft dokumentierten Kampagne werden mutmaßlich exponierte RAGFlow-Instanzen über CVE-2026-45312, CVE-2026-28797, CVE-2026-24770, CVE-2025-68700 und CVE-2025-69286 angegriffen, um sich festzusetzen und Schlüssel sowie Metadaten von LLM-Anbietern zu stehlen. „Die beobachteten Ziele waren durchgängig gleich. In allen Fällen zeigte die Telemetrie das Sammeln von Zugangsdaten, dauerhafte Zugangsmechanismen und die Monetarisierung von Ressourcen — auch wenn der Ausführungspfad je nach Produkt variierte", erklärt Microsoft. Verteidiger sollten KI-Workloads entsprechend ihrer Rolle in der Steuerungsebene überwachen und nicht nur als isolierte Anwendungen betrachten.