Uma falha crítica de segurança no Marimo, um notebook open source em Python usado para ciência de dados e análise, foi explorada em menos de 10 horas após sua divulgação pública, segundo levantamento da Sysdig.
A vulnerabilidade, identificada como
CVE-2026-39987
e classificada com CVSS 9,3, permite remote code execution sem autenticação e afeta todas as versões do Marimo anteriores e incluindo a 0.20.4.
O problema já foi corrigido na versão 0.23.0.
“O endpoint WebSocket /terminal/ws não tem validação de autenticação, permitindo que um atacante não autenticado obtenha um shell PTY completo e execute comandos arbitrários no sistema”, informaram os mantenedores do Marimo em um advisory divulgado no início da semana.
“Diferentemente de outros endpoints WebSocket, como o /ws, que chamam corretamente validate_auth() para autenticação, o endpoint /terminal/ws verifica apenas o modo de execução e o suporte da plataforma antes de aceitar conexões, ignorando completamente a checagem de autenticação.”
Na prática, isso significa que invasores podem obter um shell interativo completo em qualquer instância exposta do Marimo por meio de uma única conexão WebSocket, sem necessidade de credenciais.
A Sysdig afirmou ter detectado a primeira tentativa de exploração 9 horas e 41 minutos após a divulgação pública da falha.
Em poucos minutos, houve uma operação de roubo de credenciais, mesmo sem a existência de um PoC disponível naquele momento.
Segundo a empresa, o autor da atividade, ainda não identificado, se conectou ao endpoint WebSocket /terminal/ws em um honeypot e iniciou uma exploração manual do sistema, navegando pelo file system e tentando, minutos depois, extrair dados do arquivo .env, além de buscar chaves SSH e ler diferentes arquivos.
Cerca de uma hora depois, o invasor retornou ao honeypot para acessar o conteúdo do arquivo .env e verificar se outros agentes maliciosos estavam ativos naquele período.
Não foram instalados outros payloads, como cryptominers ou backdoors.
“O atacante construiu um exploit funcional diretamente a partir da descrição do advisory, conectou-se ao endpoint de terminal sem autenticação e começou a explorar manualmente o ambiente comprometido”, disse a empresa de segurança em nuvem.
“Ele se conectou quatro vezes ao longo de 90 minutos, com pausas entre as sessões.
Isso é compatível com um operador humano trabalhando em uma lista de alvos e retornando para confirmar os achados.”
A velocidade com que falhas recém-divulgadas estão sendo weaponized mostra que threat actors monitoram de perto a divulgação de vulnerabilidades e as exploram rapidamente no intervalo entre a exposição pública e a adoção do patch.
Isso reduz cada vez mais o tempo de resposta disponível para as equipes de defesa.
“A suposição de que os atacantes miram apenas plataformas amplamente utilizadas está errada.
Qualquer aplicação exposta à internet e acompanhada de um advisory crítico se torna um alvo, independentemente de sua popularidade.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...