Uma vulnerabilidade crítica de execução remota de código (RCE) foi explorada em Marimo, um ambiente de notebook Python. A falha, rastreada como CVE-2026-39987, permitiu que atores de ameaças obtivessem um shell de sistema completo sem autenticação. Os atacantes utilizaram essa vulnerabilidade para colher credenciais de nuvem e acessar bancos de dados internos.
Detalhes Técnicos
A vulnerabilidade CVE-2026-39987 foi divulgada em 9 de abril de 2026.
O endpoint WebSocket /terminal/ws do Marimo não possuía validação de autenticação, permitindo conexões sem autenticação.
A exploração começou em 10 de maio de 2026, com atores de ameaças usando agentes impulsionados por LLM para adaptar suas ações em tempo real.
Os atacantes colheram credenciais de nuvem de arquivos de ambiente e caminhos do sistema.
Ações Recomendadas
Atualize o Marimo para a versão 0.23.0 ou superior.
Verifique se há atividades suspeitas nos logs do sistema.
Implemente medidas de autenticação para endpoints WebSocket.
Monitore a nuvem e os sistemas em busca de atividades anômalas.
