Storm-0940 usó el framework de agentes ARTEX y credenciales de ConnectWise para ir contra más de 2.250 tenants de Microsoft 365
Microsoft atribuye a Storm-0940, un grupo de espionaje vinculado a China activo desde 2021, una campaña que usó ARTEX: un framework open source de pentesting en Go que delega en agentes de IA el reconocimiento, el descubrimiento de vulnerabilidades, los ataques de credenciales y el robo de datos. Lo vienen usando desde septiembre, y en algunos casos pasaron de elegir el objetivo a tener acceso privilegiado en la nube en menos de tres horas. Entre el 10 y el 14 de octubre tiraron más de 151.000 logins fallidos contra 327 cuentas; después pivotearon a identidades de aplicación de ConnectWise comprometidas e intentaron autenticarse contra más de 2.250 tenants de Microsoft 365, con picos de 2.900 intentos por minuto. La mayoría falló, pero Microsoft dice que lograron acceso privilegiado persistente en numerosas organizaciones, y también vio reconocimiento y cambios de credenciales de aplicación vía Microsoft Graph acelerados por IA. ConnectWise apagó Cloud Backup, SaaS Security y Cloud Management y avisa que cortar esas conexiones no saca a un atacante que ya entró. Ojo con esto: si tenés apps de ConnectWise consentidas en tu tenant, revisá service principals, secretos de apps y roles asignados desde septiembre.
CVE-2026-114612 (CVSS 9.9): un usuario interno de LiteLLM puede forjar un token de admin y ejecutar comandos por el endpoint MCP stdio
El proxy de LiteLLM usa el mismo contexto criptográfico para cifrar secretos en reposo y para los tokens de sesión. Un usuario autenticado con permisos bajos arma metadata con una credencial de admin falsa, el flujo de creación de API keys la cifra y se la devuelve, y ese ciphertext reproducido como bearer token hace que el proxy confíe en la identidad de admin forjada: acceso administrativo completo y comandos arbitrarios vía el endpoint MCP stdio. De 1.87.0 a 1.90.x solo es explotable con EXPERIMENTAL_UI_LOGIN activo; desde 1.91.0 lo es con la configuración por defecto. Parcheado en 1.100.4, 1.101.3, 1.102.2, 1.103.1 y 1.104.0-rc.2. Ojo con esto: es el segundo día seguido que LiteLLM aparece acá; si actualizás, no caigas en la 1.107.0 envenenada de esta semana.
CVE-2026-114051 y CVE-2026-114052: un solo request sin autenticación cuelga o tumba vLLM antes de 0.31.0
Dos DoS más en vLLM, distintos de los bugs de caché que cubrimos ayer. CVE-2026-114051 (CVSS 3.1: 7.5): /inference/v1/generate no valida que min_tokens no supere a max_tokens cuando este último es null; el hilo de entrada de EngineCore crashea con una excepción no manejada, /health sigue respondiendo 200 y toda generación posterior queda colgada hasta reiniciar a mano. CVE-2026-114052 (CVSS 4.0: 8.7): en el serving de MOSS-Audio, vLLM cachea un processor por cada valor distinto de mm_processor_kwargs sin límite, y como /tokenize saltea --api-key, alcanza con mandar muchos mel_config distintos para agotar la memoria. Fix: 0.31.0 (y si ya estás actualizando, andá directo a 0.32.0 por el batch de pickle y Ghostscript). Ojo con esto: si tu health check es tu única alarma, el primero no lo vas a ver.
CVE-2026-114135: el handler WebSocket del gateway de Jupyter Server se saltea la autorización de ejecución en kernels
Cuando Jupyter Server está configurado contra un gateway de kernels remoto (el setup típico de JupyterHub y plataformas de notebooks para equipos de ML), el handler WebSocket del gateway no aplica el chequeo de autorización de execute sobre el kernel. Un usuario al que tu authorizer le permite ver un kernel pero no ejecutar código igual puede mandar código por el canal WebSocket. CVSS 3.1: 8.8. Afecta >= 2.0.0, < 2.6.0; actualizá a 2.6.0. Si dependés de un authorizer custom para separar roles de lectura y ejecución, este es el parche de la semana.
CVE-2026-114140: convertir un .ipynb malicioso con nbconvert escribe archivos donde el autor del notebook quiera
En ExtractOutputPreprocessor, nbconvert une el atributo filename de la metadata de outputs de celdas con output_files_dir sin canonicalizar, así que un notebook armado con ../ escribe archivos arbitrarios al exportar con --to markdown, latex, rst o asciidoc. CVSS 4.0: 8.8. Es un bug hermano de GHSA-4c99-qj7h-p3vg. Afecta >= 5.4.0, <= 7.17.1; fix en 7.17.2. Ojo con esto: los pipelines que renderizan notebooks de terceros (model cards, docs de repos de Hugging Face, CI que publica notebooks) son exactamente quien corre nbconvert sobre input no confiable.
CVE-2026-111079: con la integración de terminal activa, Goose manda tu historial de shell, secretos incluidos, al proveedor de LLM
Cuando la integración de terminal del agente Goose está habilitada, captura el historial de comandos del shell y lo manda sin sanitizar a los endpoints del proveedor de LLM configurado en cada consulta. Si alguna vez pegaste un token, una password o hiciste export de una variable con credenciales, eso cruza la frontera de confianza y puede terminar en el proveedor y en sus logs (CWE-497). CVSS 3.1: 7.4; Red Hat lo califica Important y lo trackea para el paquete goose en RHEL 9 y 10, todavía sin fix publicado. Mientras tanto: desactivá la integración de terminal o limpiá el historial antes de usarla, y asumí rotar todo secreto que haya pasado por ese shell.
CVE-2026-114510: en Flexible GraphRAG, un documento malicioso que pasa por el modelo de extracción inyecta Cypher en FalkorDB
El helper _escape() del adapter de FalkorDB escapa comillas antes que backslashes, así que un escape inyectado se duplica y una comilla cierra el string antes de tiempo. Resultado: contenido de documentos controlado por el atacante, procesado por el LLM de extracción de entidades, termina como Cypher inyectado que puede modificar o borrar el grafo, y filtrar datos si los resultados vuelven al usuario o al LLM. Además, los nombres dinámicos de nodos y relaciones van a posiciones entre backticks sin parametrizar. CVSS 3.1: 7.1. Solo afecta deployments con GRAPH_BACKEND=langchain y GRAPH_DB=falkordb, versiones >= 0.6.0, < 0.8.2; fix en 0.8.2. Es el patrón de siempre en RAG: el output del modelo es input no confiable, y hay que parametrizar como si lo hubiera escrito el atacante.
Tendencias Destacadas
Los agentes ofensivos ya no son un paper: Storm-0940 usó un framework open source de agentes para pasar de objetivo a acceso privilegiado en menos de tres horas, a escala de miles de tenants. La defensa tiene que asumir velocidad de máquina: alertas sobre cambios de credenciales de apps y consentimientos OAuth, no solo sobre logins humanos.
El LLM como canal de datos no confiables se repite en ambas direcciones: Goose filtra secretos del host hacia el proveedor, y Flexible GraphRAG deja que contenido de documentos atraviese el modelo y llegue como Cypher a la base. Lo que entra al modelo y lo que sale de él necesitan el mismo tratamiento que cualquier input externo.
La infraestructura de serving sigue acumulando DoS triviales: un parámetro null o un cache sin límite alcanzan para tumbar vLLM, y endpoints auxiliares como /tokenize que saltean --api-key amplían la superficie. No expongas el servidor de inferencia directo a internet: ponelo detrás de un gateway que autentique y limite.
Storm-0940 used the ARTEX agent framework and ConnectWise credentials to go after more than 2,250 Microsoft 365 tenants
Microsoft attributes to Storm-0940, a China-linked espionage group active since 2021, a campaign built on ARTEX: an open-source Go pentesting framework that hands reconnaissance, vulnerability discovery, credential attacks and data theft to AI agents. The group has used it since September, and in some cases went from picking a target to privileged cloud access in under three hours. Between 10 and 14 October it fired more than 151,000 failed sign-ins at 327 accounts; it then pivoted to compromised ConnectWise application identities and tried to authenticate against more than 2,250 Microsoft 365 tenants, peaking at 2,900 attempts per minute. Most attempts failed, but Microsoft says the attackers established persistent privileged access at numerous organizations, and it also observed AI-accelerated reconnaissance and application credential changes through Microsoft Graph. ConnectWise shut down Cloud Backup, SaaS Security and Cloud Management and warns that cutting those connections does not evict an attacker who is already in. If ConnectWise apps are consented in your tenant, review service principals, app secrets and role assignments back to September.
CVE-2026-114612 (CVSS 9.9): an internal LiteLLM user can forge an admin token and run commands through the MCP stdio endpoint
LiteLLM's proxy uses one cryptographic context both for at-rest secrets and for session tokens. A low-privileged authenticated user crafts metadata containing a forged admin credential, the API-key creation flow encrypts it and hands it back, and replaying that ciphertext as a bearer token makes the proxy trust the forged admin identity: full administrative access and arbitrary commands through the MCP stdio endpoint. Versions 1.87.0 to 1.90.x are exploitable only with EXPERIMENTAL_UI_LOGIN enabled; from 1.91.0 on it works in the default configuration. Fixed in 1.100.4, 1.101.3, 1.102.2, 1.103.1 and 1.104.0-rc.2. This is LiteLLM's second appearance here in two days; when you upgrade, stay away from this week's poisoned 1.107.0.
CVE-2026-114051 and CVE-2026-114052: one unauthenticated request hangs or kills vLLM before 0.31.0
Two more vLLM DoS bugs, separate from the cache issues covered yesterday. CVE-2026-114051 (CVSS 3.1: 7.5): /inference/v1/generate skips the check that min_tokens does not exceed max_tokens when the latter is null; the EngineCore input thread dies on an unhandled exception, /health keeps answering 200, and every later generation request hangs until a manual restart. CVE-2026-114052 (CVSS 4.0: 8.7): when serving MOSS-Audio, vLLM caches one processor per distinct mm_processor_kwargs value without a bound, and because /tokenize bypasses --api-key, sending many distinct mel_config values exhausts host memory. Fix: 0.31.0 (and if you are upgrading anyway, go straight to 0.32.0 for the pickle and Ghostscript batch). If your health check is your only alarm, you will not see the first one.
CVE-2026-114135: Jupyter Server's gateway WebSocket handler bypasses kernel execute authorization
When Jupyter Server runs against a remote kernel gateway (the usual JupyterHub and team notebook platform setup for ML groups), the gateway WebSocket handler does not apply the kernel execute authorization check. A user your authorizer lets view a kernel but not run code can still send code down the WebSocket channel. CVSS 3.1: 8.8. Affects >= 2.0.0, < 2.6.0; upgrade to 2.6.0. If you rely on a custom authorizer to separate read and execute roles, this is the patch of the week.
CVE-2026-114140: converting a malicious .ipynb with nbconvert writes files wherever the notebook author wants
In ExtractOutputPreprocessor, nbconvert joins the filename attribute from cell output metadata onto output_files_dir with no canonicalization, so a notebook crafted with ../ writes arbitrary files when exported with --to markdown, latex, rst or asciidoc. CVSS 4.0: 8.8. It is a sibling of GHSA-4c99-qj7h-p3vg. Affects >= 5.4.0, <= 7.17.1; fixed in 7.17.2. Pipelines that render third-party notebooks (model cards, docs for Hugging Face repos, CI that publishes notebooks) are exactly the ones running nbconvert on untrusted input.
CVE-2026-111079: with terminal integration on, Goose sends your shell history, secrets included, to the LLM provider
When the Goose agent's terminal integration is enabled, it captures your shell command history and sends it unsanitized to the configured LLM provider endpoints with every query. If you ever pasted a token or password, or ran export on a variable holding credentials, that crosses a trust boundary and can land at the provider and in its logs (CWE-497). CVSS 3.1: 7.4; Red Hat rates it Important and tracks it for the goose package on RHEL 9 and 10, with no fix published yet. Until then: turn terminal integration off or clear your history before using it, and plan to rotate any secret that went through that shell.
CVE-2026-114510: in Flexible GraphRAG, a malicious document passed through the extraction model injects Cypher into FalkorDB
The FalkorDB adapter's _escape() helper escapes quotes before backslashes, so an injected escape gets doubled and a quote can end the string early. The result: attacker-controlled document content, processed by the entity-extraction LLM, ends up as injected Cypher that can modify or delete the graph, and leak data if query results reach the user or the LLM. Dynamic node and relationship type names also go into backtick-quoted positions without parameterization. CVSS 3.1: 7.1. Only deployments with GRAPH_BACKEND=langchain and GRAPH_DB=falkordb are affected, versions >= 0.6.0, < 0.8.2; fixed in 0.8.2. The usual RAG lesson: model output is untrusted input, so parameterize it as if the attacker wrote it.
Notable Trends
Offensive agents are no longer a research paper: Storm-0940 used an open-source agent framework to go from target to privileged access in under three hours, at the scale of thousands of tenants. Defense has to assume machine speed: alert on app credential changes and OAuth consents, not just human sign-ins.
The LLM as a channel for untrusted data shows up in both directions: Goose leaks host secrets out to the provider, and Flexible GraphRAG lets document content pass through the model and reach the database as Cypher. What goes into a model and what comes out of it both deserve the same handling as any external input.
Serving infrastructure keeps piling up trivial DoS bugs: a null parameter or an unbounded cache is enough to take vLLM down, and side endpoints like /tokenize that bypass --api-key widen the surface. Do not expose the inference server directly to the internet: put it behind a gateway that authenticates and rate-limits.
Storm-0940 a utilisé le framework d'agents ARTEX et des identifiants ConnectWise contre plus de 2 250 tenants Microsoft 365
Microsoft attribue à Storm-0940, un groupe d'espionnage lié à la Chine actif depuis 2021, une campagne reposant sur ARTEX : un framework open source de pentest en Go qui confie à des agents d'IA la reconnaissance, la découverte de vulnérabilités, les attaques sur les identifiants et le vol de données. Le groupe l'utilise depuis septembre et, dans certains cas, est passé du choix de la cible à un accès cloud privilégié en moins de trois heures. Entre le 10 et le 14 octobre, plus de 151 000 connexions échouées ont visé 327 comptes ; le groupe a ensuite pivoté vers des identités d'application ConnectWise compromises et tenté de s'authentifier sur plus de 2 250 tenants Microsoft 365, avec des pics à 2 900 tentatives par minute. La plupart ont échoué, mais Microsoft indique un accès privilégié persistant dans de nombreuses organisations, ainsi qu'une reconnaissance et des modifications d'identifiants d'application via Microsoft Graph accélérées par l'IA. ConnectWise a coupé Cloud Backup, SaaS Security et Cloud Management et prévient que couper ces connexions n'expulse pas un attaquant déjà présent. Si des apps ConnectWise sont consenties dans votre tenant, revoyez service principals, secrets d'application et attributions de rôles depuis septembre.
CVE-2026-114612 (CVSS 9.9) : un utilisateur interne de LiteLLM peut forger un token admin et exécuter des commandes via l'endpoint MCP stdio
Le proxy LiteLLM utilise un seul contexte cryptographique pour les secrets au repos et pour les tokens de session. Un utilisateur authentifié peu privilégié fabrique des métadonnées contenant un faux identifiant admin, le flux de création de clés d'API les chiffre et les lui renvoie, et rejouer ce ciphertext comme bearer token fait accepter l'identité admin forgée : accès administrateur complet et commandes arbitraires via l'endpoint MCP stdio. Les versions 1.87.0 à 1.90.x ne sont exploitables qu'avec EXPERIMENTAL_UI_LOGIN ; à partir de 1.91.0, la faille fonctionne dans la configuration par défaut. Corrigé en 1.100.4, 1.101.3, 1.102.2, 1.103.1 et 1.104.0-rc.2. En mettant à jour, évitez la 1.107.0 vérolée de cette semaine.
CVE-2026-114051 et CVE-2026-114052 : une seule requête sans authentification bloque ou fait tomber vLLM avant 0.31.0
Deux autres DoS dans vLLM, distincts des bugs de cache couverts hier. CVE-2026-114051 (CVSS 3.1 : 7.5) : /inference/v1/generate ne vérifie pas que min_tokens ne dépasse pas max_tokens quand ce dernier est null ; le thread d'entrée d'EngineCore meurt sur une exception non gérée, /health continue de répondre 200 et toute génération ultérieure reste bloquée jusqu'à un redémarrage manuel. CVE-2026-114052 (CVSS 4.0 : 8.7) : en servant MOSS-Audio, vLLM met en cache un processor par valeur distincte de mm_processor_kwargs sans limite, et comme /tokenize contourne --api-key, envoyer de nombreux mel_config différents épuise la mémoire. Correctif : 0.31.0 (ou directement 0.32.0 pour le lot pickle et Ghostscript).
CVE-2026-114135 : le handler WebSocket du gateway de Jupyter Server contourne l'autorisation d'exécution des kernels
Quand Jupyter Server fonctionne avec un gateway de kernels distant (la configuration courante de JupyterHub et des plateformes de notebooks pour équipes ML), le handler WebSocket du gateway n'applique pas le contrôle d'autorisation execute du kernel. Un utilisateur que votre authorizer autorise à voir un kernel sans exécuter de code peut quand même envoyer du code par le canal WebSocket. CVSS 3.1 : 8.8. Versions >= 2.0.0, < 2.6.0 ; mettez à jour vers 2.6.0.
CVE-2026-114140 : convertir un .ipynb malveillant avec nbconvert écrit des fichiers où l'auteur du notebook le souhaite
Dans ExtractOutputPreprocessor, nbconvert joint l'attribut filename des métadonnées de sortie des cellules à output_files_dir sans canonicalisation : un notebook contenant ../ écrit des fichiers arbitraires lors d'un export --to markdown, latex, rst ou asciidoc. CVSS 4.0 : 8.8. C'est une variante de GHSA-4c99-qj7h-p3vg. Versions >= 5.4.0, <= 7.17.1 ; corrigé en 7.17.2. Les pipelines qui rendent des notebooks tiers sont précisément ceux qui exécutent nbconvert sur des entrées non fiables.
CVE-2026-111079 : avec l'intégration terminal activée, Goose envoie votre historique shell, secrets compris, au fournisseur de LLM
Quand l'intégration terminal de l'agent Goose est activée, elle capture l'historique des commandes du shell et l'envoie sans nettoyage aux endpoints du fournisseur de LLM configuré à chaque requête. Si vous avez déjà collé un token ou un mot de passe, ou fait un export d'une variable contenant des identifiants, cela franchit une frontière de confiance et peut finir chez le fournisseur et dans ses logs (CWE-497). CVSS 3.1 : 7.4 ; Red Hat la classe Important pour le paquet goose sur RHEL 9 et 10, sans correctif publié. En attendant : désactivez l'intégration terminal ou videz l'historique, et prévoyez de faire tourner les secrets passés par ce shell.
CVE-2026-114510 : dans Flexible GraphRAG, un document malveillant traité par le modèle d'extraction injecte du Cypher dans FalkorDB
Le helper _escape() de l'adaptateur FalkorDB échappe les guillemets avant les backslashes : un échappement injecté est doublé et un guillemet peut terminer la chaîne trop tôt. Résultat : du contenu de document contrôlé par l'attaquant, traité par le LLM d'extraction d'entités, devient du Cypher injecté capable de modifier ou supprimer le graphe, et de fuiter des données si les résultats reviennent à l'utilisateur ou au LLM. Les noms dynamiques de nœuds et de relations sont aussi insérés entre backticks sans paramétrage. CVSS 3.1 : 7.1. Seuls les déploiements avec GRAPH_BACKEND=langchain et GRAPH_DB=falkordb sont touchés, versions >= 0.6.0, < 0.8.2 ; corrigé en 0.8.2.
Tendances Notables
Les agents offensifs ne sont plus un sujet de recherche : Storm-0940 a utilisé un framework d'agents open source pour passer de la cible à un accès privilégié en moins de trois heures, à l'échelle de milliers de tenants. La défense doit supposer une vitesse machine : alerter sur les changements d'identifiants d'application et les consentements OAuth, pas seulement sur les connexions humaines.
Le LLM comme canal de données non fiables apparaît dans les deux sens : Goose fait fuiter des secrets de l'hôte vers le fournisseur, et Flexible GraphRAG laisse du contenu de documents traverser le modèle pour atteindre la base sous forme de Cypher. Ce qui entre dans un modèle et ce qui en sort méritent le même traitement que toute entrée externe.
L'infrastructure de serving continue d'accumuler des DoS triviaux : un paramètre null ou un cache sans limite suffit à faire tomber vLLM, et des endpoints annexes comme /tokenize qui contournent --api-key élargissent la surface. N'exposez pas le serveur d'inférence directement sur internet : placez-le derrière un gateway qui authentifie et limite le débit.