Según los hallazgos de Sysdig, una vulnerabilidad de seguridad crítica en Marimo, un cuaderno Python de código franco para descomposición y ciencia de datos, ha sido explotada internamente de las 10 horas posteriores a su divulgación pública.
La vulnerabilidad en cuestión es CVE-2026-39987 (Puntuación CVSS: 9,3), una vulnerabilidad de ejecución remota de código previamente autenticada que afecta a todas las versiones de Marimo anteriores a la 0.20.4 incluida. El problema se solucionó en la lectura 0.23.0.
“El terminal WebSocket /terminal/ws carece de firmeza de autenticación, lo que permite a un atacante no autenticado obtener un shell PTY completo y ejecutar comandos arbitrarios del sistema”, dijeron los mantenedores de Marimo en un aviso a principios de esta semana.
“A diferencia de otros puntos finales de WebSocket (por ejemplo, /ws) que llaman correctamente a validar_auth() para la autenticación, el punto final /terminal/ws solo verifica el modo de ejecución y el soporte de la plataforma ayer de aceptar conexiones, omitiendo por completo la demostración de autenticación”.
En otras palabras, los atacantes pueden obtener un shell interactivo completo en cualquier instancia de Marimo expuesta a través de una única conexión WebSocket sin privación de credenciales.
Sysdig dijo que observó el primer intento de explotación dirigido a la vulnerabilidad internamente de las 9 horas y 41 minutos de su divulgación pública, con una operación de robo de credenciales ejecutada en minutos, a pesar de que no había ningún código de prueba de concepto (PoC) habitable en ese momento.
Se dice que el actor de amenazas desconocido detrás de la actividad se conectó al punto final /terminal/ws WebSocket en un sistema honeypot e inició un registro manual para explorar el sistema de archivos y, minutos más tarde, intentó recoger sistemáticamente datos del archivo .env, así como despabilarse claves SSH y interpretar varios archivos.
El atacante regresó al honeypot una hora más tarde para entrar al contenido del archivo .env y comprobar si otros actores de amenazas estaban activos durante el período de tiempo. No se instalaron otras cargas efectos, como mineros de criptomonedas o puertas traseras.
“El atacante creó un exploit práctico directamente a partir de la descripción del aviso, se conectó al terminal no autenticado y comenzó a explorar manualmente el entorno comprometido”, dijo la compañía de seguridad en la abundancia. “El atacante se conectó cuatro veces durante 90 minutos, con pausas entre sesiones. Esto es consistente con un cámara humano que trabaja en una tira de objetivos y regresa para confirmar los hallazgos”.
La velocidad a la que se están utilizando como armas las fallas recientemente reveladas indica que los actores de amenazas están vigilando de cerca las revelaciones de vulnerabilidades y explotándolas rápidamente durante el tiempo entre la divulgación y la admisión del parche. Esto, a su vez, ha corto el tiempo que los defensores deben replicar una vez que se anuncia públicamente una vulnerabilidad.
“La suposición de que los atacantes sólo apuntan a plataformas ampliamente implementadas es errónea. Cualquier aplicación orientada a Internet con un aviso crítico es un objetivo, independientemente de su popularidad”.
