Copilot y LiteLLM: 2 vulnerabilidades críticas en junio 2026

Dos vulnerabilidades críticas en IA empresarial expusieron datos y servidores en junio 2026

En solo cuatro días de junio de 2026, dos herramientas de IA empresarial fueron comprometidas mediante cadenas de exploits que permitieron desde robo de correos hasta ejecución remota de código con privilegios de administrador. SearchLeak (CVE-2026-42824) en Microsoft 365 Copilot Enterprise y una cadena de tres CVEs en LiteLLM (CVE-2026-47101, CVE-2026-47102, CVE-2026-40217) demostraron el mismo patrón: la IA empresarial acepta input externo sin frontera de confianza.

Para founders que implementan IA en sus stacks, esto no es teoría: un solo clic en un enlace crafted puede exfiltrar datos sensibles, y un usuario de bajo privilegio puede escalar a admin total. La pregunta ya no es si tu stack es vulnerable, sino cuándo lo auditarás.

¿Qué son SearchLeak y la cadena de vulnerabilidades en LiteLLM?

El 15 de junio de 2026, Varonis Threat Labs divulgó SearchLeak (CVE-2026-42824), una cadena de exfiltración en Microsoft 365 Copilot Enterprise Search. El ataque requiere que una víctima haga clic en una URL crafted de microsoft.com: Copilot busca en su bandeja de entrada y los datos salen a través de un SSRF en Bing. Sin plugins, sin segundo clic, sin indicador visible.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Cuatro días antes, el 11 de junio de 2026, Obsidian Security publicó una cadena de tres CVEs contra LiteLLM que llevó a un usuario de bajo privilegio predeterminado hasta administrador y ejecución remota de código (RCE). La cadena completa tiene un CVSS de 9.9 (Crítico).

Dos herramientas. Dos equipos de investigación. Una frontera de confianza rota.

¿Cómo funcionan técnicamente estos exploits?

SearchLeak en Microsoft 365 Copilot (CVE-2026-42824)

La cadena de ataque combina tres vulnerabilidades distintas:

Inyección de Parámetro a Prompt (P2P): el atacante introduce contenido en parámetros de búsqueda o navegación que termina influyendo en el prompt del asistente
Condición de carrera en renderizado HTML: la salida generada por Copilot se muestra antes de ser saneada completamente, creando una ventana donde contenido malicioso puede ejecutarse
SSRF vía Bing image search: se fuerza al servidor a hacer peticiones a una URL controlada por el atacante mediante el endpoint de búsqueda de imágenes

Microsoft calificó la severidad como máxima antes del parche. La corrección se aplicó del lado del servidor, sin requerir acción del cliente para recibir la mitigación.

Cadena de tres CVEs en LiteLLM

La cadena identificada por Obsidian Security funciona así:

CVE-2026-47101 (bypass de autorización): cuando un usuario regular (internaluser) genera una clave API virtual, LiteLLM almacena el campo allowedroutes proporcionado por el llamador sin verificarlo contra el rol del usuario
CVE-2026-47102 (escalada de privilegios): encadenado con el primer fallo, permite pasar de usuario limitado a nivel administrativo
CVE-2026-40217 (sandbox escape): el componente Custom Code Guardrail compila y ejecuta Python proporcionado por el administrador mediante exec() sin filtrado a nivel de fuente, permitiendo RCE

El impacto: un atacante puede robar claves de API, leer datos sensibles, acceder a prompts y respuestas procesadas por el proxy, y comprometer máquinas de desarrolladores o el servidor completo.

Contexto adicional: CVE-2026-42271 en LiteLLM

Adicionalmente, CISA añadió CVE-2026-42271 a su catálogo KEV (Known Exploited Vulnerabilities) por evidencia de explotación activa. Esta vulnerabilidad de inyección de comandos (CVSS 8.7) afecta versiones de LiteLLM >= 1.74.2 y < 1.83.7. Horizon3.ai demostró que encadenada con CVE-2026-48710 en Starlette (bypass de validación de Host), logra RCE sin autenticación con CVSS combinado de 10.0.

¿Qué impacto real tiene esto para empresas hispanas?

El riesgo empresarial es alto porque tanto Microsoft 365 Copilot como LiteLLM suelen operar sobre correo, archivos, reuniones y contexto organizativo. Si un atacante consigue que Copilot recupere o revele contenido sensible, puede obtener:

Exfiltración de información interna sin comprometer inicialmente credenciales
Acceso indirecto a códigos MFA o artefactos de autenticación si aparecen en el contexto recuperado
Filtrado de datos regulados o contractuales desde buzones, SharePoint, calendarios y documentos

Para startups y scaleups hispanas que usan LiteLLM como gateway para múltiples proveedores de LLM (OpenAI, Anthropic, modelos locales), la toma de control del servidor expone cada clave de proveedor, los secretos que descifran credenciales almacenadas, y cada prompt y respuesta que pase a través del proxy.

El riesgo real no es solo la fuga puntual, sino la amplificación: estas herramientas pueden convertir permisos legítimos dispersos en una superficie de exposición más amplia si agregan, sintetizan o redistribuyen contenido de forma insegura.

¿Qué significa esto para tu startup?

Si implementas IA en tu stack tecnológico, estas vulnerabilidades demuestran que el problema de raíz es sistémico: la IA empresarial acepta input externo sin frontera de confianza. No es un bug aislado; es un patrón arquitectónico.

Acciones inmediatas que puedes ejecutar hoy

1. Auditoría de exposición en Microsoft 365 Copilot:

Monitoriza las URLs de búsqueda de Copilot para detectar payloads codificados en el parámetro que contengan HTML o instrucciones de incrustación de imágenes
Audita las allowlists de CSP para cualquier dominio que realice peticiones desde el servidor a URLs proporcionadas por el usuario
Alerta a tu equipo para que inspeccione enlaces de Microsoft 365 con cadenas de consulta largas y codificadas antes de hacer clic
Verifica que tu tenant tenga aplicado el parche de servidor de junio 2026

2. Hardening de LiteLLM y gateways LLM:

Actualiza inmediatamente a LiteLLM v1.83.14-stable o posterior (cierra la cadena de tres CVEs de Obsidian)
Si usas versiones >= 1.74.2 y < 1.83.7, actualiza a 1.83.7+ por CVE-2026-42271
Actualiza Starlette a 1.0.1 o posterior si tu deployment depende de este framework
Bloquea en tu reverse proxy o API gateway los endpoints POST /mcp-rest/test/connection y POST /mcp-rest/test/tools/list
Restringe acceso de red a segmentos confiables
Rota todas las credenciales almacenadas por el proxy
Revisa logs para actividad inusual de Host header y eventos de ejecución de subprocessos
Audita permisos de administrador y qué campos pueden escribir los internal_users

3. Principio de confianza cero para IA:

Trata entradas del usuario, contenido recuperado y salida del modelo como no confiables
Implementa sanitización al renderizar, no solo al generar o almacenar
Aplica least privilege a conectores, plugins y permisos del asistente sobre correo, archivos y calendarios
Registra y correlaciona prompts, tool calls y fetches con trazabilidad por tenant y por identidad

Auditoría de 5 puntos antes de que tu stack sea el próximo

Esta auditoría mapea cada gap a un CVE o señal de mercado de junio 2026, con un comando que puedes ejecutar antes del almuerzo:

Check 1: ¿Tu gateway LLM valida allowed_routes por rol?

CVE relacionado: CVE-2026-47101
Comando: Revisa la configuración de creación de API keys virtuales en tu proxy
Pregunta al CISO: ¿Un internal_user puede especificar rutas administrativas al crear su key?

Check 2: ¿Hay sandbox escape en código custom?

CVE relacionado: CVE-2026-40217
Comando: Busca en tu código exec() o eval() que procese input de administrador
Pregunta al CISO: ¿El Custom Code Guardrail ejecuta Python sin filtrado a nivel de fuente?

Check 3: ¿Tu Copilot Enterprise está parcheado del lado servidor?

CVE relacionado: CVE-2026-42824
Comando: Verifica en Microsoft 365 Admin Center que no haya alertas de SearchLeak
Pregunta al CISO: ¿Monitorizamos URLs de Copilot Search con parámetros codificados?

Check 4: ¿Bloqueas SSRF en conectores de IA?

Señal de mercado: SearchLeak usa SSRF vía Bing image search
Comando: Revisa reglas de egress en tu firewall para el servidor de IA
Pregunta al CISO: ¿El backend puede acceder a destinos proporcionados por usuarios?

Check 5: ¿Rotaste credenciales después de actualizar?

Señal de mercado: ambas cadenas exponen claves de API y secretos
Comando: Ejecuta rotación de todas las API keys gestionadas por el proxy
Pregunta al CISO: ¿Hay un proceso de respuesta a incidentes específico para IA?

Conclusión

Junio 2026 dejó claro que la seguridad de IA empresarial no es opcional: SearchLeak y la cadena LiteLLM son demostraciones prácticas de cómo una pipeline de búsqueda + IA + renderizado + fetch server-side puede convertirse en una cadena de explotación real. El patrón subyacente es uno: la IA empresarial acepta input externo sin frontera de confianza.

Para founders hispanos, la lección es clara: implementar IA sin auditoría de seguridad es como lanzar un producto sin product-market fit. Puedes tener suerte, pero el riesgo sistémico está ahí. Ejecuta la auditoría de 5 puntos, actualiza tus dependencias, rota credenciales y trata cada capa de tu stack de IA como no confiable.

La pregunta no es si tu stack es vulnerable. Es cuándo lo auditarás.