Критическая уязвимость BadHost угрожает миллионам AI-агентов по всему миру

Исследователи в области кибербезопасности зафиксировали критическую уязвимость в Starlette — open source фреймворке, который скачивают 325 миллионов раз в неделю. Баг, получивший идентификатор CVE-2026-48710 и торговое название BadHost, позволяет злоумышленнику обойти авторизацию и получить доступ к серверам, на которых работают AI-агенты крупнейших провайдеров. Под угрозой — учётные данные к базам данных, почтовым сервисам, календарям и другим внешним системам.

Один символ — и сервер открыт

Starlette реализует стандарт ASGI (asynchronous server gateway interface) и служит фундаментом для FastAPI — одного из самых популярных Python-фреймворков для построения API. Именно через FastAPI уязвимость распространяется на весь смежный экосистемный стек: vLLM, LiteLLM, Text Generation Inference, прокси-серверы, совместимые с OpenAI API, MCP-серверы, агентные обвязки, дашборды для оценки моделей и интерфейсы управления моделями.

Механика атаки проста до неприличия. Один символ, внедрённый в HTTP-заголовок `Host`, обходит маршрутизацию на основе пути — ту самую, которую Starlette использует для разграничения доступа. Это означает, что эксплуатация не требует специальных инструментов или глубокой экспертизы: достаточно базового понимания HTTP.

Особую опасность представляет связка с MCP (model context protocol) — протоколом, через который AI-агенты от крупных провайдеров подключаются к внешним ресурсам. MCP-серверы хранят токены и ключи доступа ко всем подключённым сервисам, превращаясь в концентрированное хранилище чувствительных данных. Взлом одного такого сервера может дать атакующему доступ сразу к десяткам корпоративных систем.

Кто обнаружил и насколько серьёзно

Уязвимость первоначально выявила немецкая компания X41 D-Sec — при анализе кодовой базы vLLM. Впоследствии исследователи из Secwest подтвердили, что проблема затрагивает весь слой Python AI-инструментария, построенного поверх Starlette.

Официальный рейтинг CVSS составляет 7 из 10, однако сами исследователи считают эту оценку заниженной. Secwest прямо указывает, что классификация «существенно преуменьшает» реальную угрозу для приложений, зависящих от Starlette. X41 D-Sec присваивает уязвимости статус критической.

Для проверки инфраструктуры X41 D-Sec совместно с компанией Nemesis запустили онлайн-сканер, позволяющий определить, уязвим ли конкретный сервер. BadHost работает против большинства систем, не защищённых корректно настроенным файрволом — то есть против значительной части реально развёрнутых инсталляций.

Патч вышел в пятницу в составе Starlette версии 1.0.1. Все более ранние версии фреймворка остаются уязвимыми. Учитывая, что тысячи open source проектов используют Starlette как зависимость, полное распространение исправления займёт время: каждый из них должен выпустить собственное обновление и дождаться, пока пользователи его установят.

Что это значит для белорусского IT-рынка

Для белорусских разработчиков и компаний-резидентов ПВТ, работающих с Python-стеком, ситуация требует немедленной реакции. FastAPI сегодня — один из стандартных инструментов для построения бэкенда в ML-проектах и микросервисных архитектурах. Если ваша команда использует FastAPI, vLLM, LiteLLM или любой другой фреймворк на базе Starlette — проверьте версию зависимости прямо сейчас.

Отдельного внимания заслуживают компании, которые разворачивают MCP-серверы для интеграции AI-агентов с корпоративными системами: CRM, ERP, почтовыми сервисами. Именно такие инсталляции представляют наибольший интерес для атакующих, поскольку компрометация одного сервера открывает доступ сразу к нескольким бизнес-системам.

Минимальные шаги: обновить Starlette до версии 1.0.1 или выше, проверить транзитивные зависимости в `requirements.txt` и `pyproject.toml`, убедиться, что MCP-серверы не доступны напрямую из интернета без файрвола. Использовать онлайн-сканер от X41 D-Sec и Nemesis для быстрой проверки публично доступных эндпоинтов.

История с BadHost — ещё одно напоминание о системной проблеме экосистемы open source: критически важные компоненты с сотнями миллионов загрузок нередко поддерживаются небольшими командами или вовсе отдельными разработчиками. Когда такой компонент оказывается в основании AI-инфраструктуры, цена единственной ошибки в маршрутизации HTTP-запросов резко возрастает.