LiteLLM 中发现了一个严重漏洞 CVE-2026-42271，可在无需认证的情况下远程执行命令。消息迅速传播，但有必要将噪音与事实分开：这并非全球性灾难，而是对未修补系统用户的警告。普通民众甚至不知道 LiteLLM 是什么，他们的数字生活一切照旧。
真正的漏洞不在代码中，而在管理员的懒惰中 🛡️
该漏洞利用了 LiteLLM API 调用中缺乏验证的问题，允许向底层系统注入命令。报告该漏洞的研究人员为博取关注，在补丁发布前就公开了它。观察到的攻击主要集中在暴露服务器上挖掘加密货币，而非窃取个人数据。将 LiteLLM 置于防火墙后或隔离环境中的人并无风险。补丁已可用，但许多人会因疏忽而不安装。
安全公司贩卖烟雾弹，管理员贩卖白日梦 💸
网络安全公司围绕此 CVE 大做文章，将其描绘成数字世界的末日。现实更为平淡：一个开源工具中的漏洞，影响的是小型开发者，而非银行或政府。在他们销售昂贵防火墙的同时，攻击者满足于在遗忘的服务器上挖矿。最大的风险不是代码，而是不点击更新的人的懒惰。