LiteLLMの不正版が認証情報を窃取、導入版とコンテナの確認を

Wizは2026年10月21日付の発表で、LiteLLM 1.107.0の不正版がPyPIに公開されたと報告しました。認証情報などを盗む処理が含まれ、GHCRとDocker hubのコンテナにも不正版が入っていたとしています。PyPIでは隔離済みですが、導入済みの環境は別途確認が必要です。

1.107.0だけでなく、latestなどのタグも対象

Wizが挙げた影響するコンテナのタグは、v1.107.0、latest、main-latest、main-stableです。タグはコンテナイメージを指定するための名前です。版番号を直接指定していない運用でも、これらのタグを使っていれば調査対象になります。

Wizによると、安全な最新版はLiteLLM 1.106.2です。PyPIでの隔離は、すでに取り込んだ環境から不正ファイルが消えたことを意味しません。配布元の現在の状態と、自社環境に何が入っているかを分けて確認する必要があります。

日本での提供状況や、国内の被害の有無は発表には書かれていません。自社への影響は、地域ではなく導入した版やコンテナのタグを起点に調べるのが実務上の確認手順です。

Python起動時に動くファイルを配置

不正版は、Pythonのパッケージを置くsite-packages直下に、cook.pth、cook.py、sitecustomize.pyの3ファイルを配置します。いずれもPython起動時の実行を狙ったものです。

cook.pthはcook.pyを読み込み、情報を盗む処理を実行します。収集対象はシステム、ブラウザ、開発環境、クラウド、AIツールの機密情報です。収集した情報は暗号化され、LiteLLMの設備を装った攻撃者管理のドメイン、www.litellm.devの/healthcheckへ送信されるとしています。

sitecustomize.pyはLinuxとMacOSでのみ動作します。GitHubからdomain.txtの取得を試み、取得先の応答があれば、第2段階のPythonスクリプトを取得・実行しようとします。Wizの分析時点ではdomain.txtに内容はなく、取得先のGitHubリポジトリも削除済みです。ただし、この状況だけでcook.pyによる情報窃取の危険がなくなったとは判断しないでください。

影響する会社・しない会社

• 影響する: LiteLLM 1.107.0の不正版を導入した会社です。開発端末だけでなく、導入先のPython環境を確認対象にします。
• 影響する: GHCRまたはDocker hubから、v1.107.0、latest、main-latest、main-stableのコンテナを利用した会社です。
• 影響しない: Wizが安全な最新版としたLiteLLM 1.106.2のみを使い、不正版を導入していない環境は、今回示された不正版の対象には当たりません。

なお、Windowsだから対象外とは判断できません。LinuxとMacOSだけで動くという説明はsitecustomize.pyについてのもので、情報窃取処理全体の対象OSを限定した説明ではありません。

情シスが今日やること

1. 本日中に、開発責任者とコンテナ運用担当へ対象版・タグを共有してください。依存関係の一覧、導入履歴、コンテナの設定で、LiteLLM 1.107.0と対象タグの使用有無を確認します。資料には特定の管理画面の操作手順は示されていません。
2. 該当環境では、再実行する前にsite-packages直下の3ファイルを確認してください。見つかった場合は、ファイル、導入履歴、実行履歴を保全し、セキュリティ担当へ連絡します。確認のためにPythonを起動する方法は避けてください。
3. 不正版を導入した環境は利用を止め、Wizが安全とした1.106.2を基準に、環境の作り直しを検討してください。版番号の変更だけで済ませず、不正ファイルが残っていないことも確認します。
4. 不正版の実行が疑われる場合は、クラウドやAIツールの管理担当に、該当環境で扱っていた認証情報の洗い出しを依頼してください。失効・再発行の要否を判断し、送信先への通信記録も調べます。配布元の隔離や取得先の削除だけを理由に、調査を終了しないことが重要です。