Une vulnérabilité critique dans la plateforme notebook réactive open-source Marimo a été exploitée moins de 10 heures après sa divulgation publique. Cette faille permet une exécution de code à distance sans authentification dans les versions 0.20.4 et antérieures, identifiée comme CVE-2026-39987, et notée 9.3 sur 10 par GitHub.
Des chercheurs de la société de sécurité cloud Sysdig ont révélé que des attaquants ont rapidement développé un exploit à partir des informations fournies dans l’avis des développeurs et ont commencé à l’utiliser dans des attaques visant à exfiltrer des données sensibles.
En général, Marimo est utilisé par des scientifiques des données, des praticiens de l’IA/ML, ainsi que par des chercheurs et des développeurs d’applications de données. Avec 20 000 étoiles sur GitHub et 1 000 forks, ce projet open-source a gagné en popularité.
La vulnérabilité CVE-2026-39987 découle d’un endpoint WebSocket, ‘/terminal/ws’, qui expose un terminal interactif sans vérifications d’authentification appropriées, permettant des connexions de n’importe quel client non authentifié. Cela accorde un accès direct à un shell interactif fonctionnant avec les mêmes privilèges que le processus de Marimo.
Exploitation en cours
Selon Sysdig, dans les 12 heures suivant la divulgation de la vulnérabilité, 125 adresses IP ont débuté des activités de reconnaissance. Moins de 10 heures après, la première tentative d’exploitation a été constatée lors d’une opération de vol de données d’identification.
L’attaquant a d’abord confirmé la vulnérabilité en se connectant à l’endpoint /terminal/ws et en exécutant une courte séquence de commandes pour vérifier l’exécution de commandes à distance, se déconnectant rapidement. Peu après, il s’est reconnecté pour procéder à une reconnaissance manuelle, en utilisant des commandes de base telles que pwd, whoami, et ls afin d’explorer l’environnement, suivi de tentatives de navigation dans les répertoires et de vérifications liées à SSH.
Ensuite, l’attaquant s’est concentré sur le vol de données d’identification, ciblant immédiatement le fichier .env pour extraire des variables d’environnement, y compris des informations d’identification cloud et des secrets d’application. Il a ensuite tenté de lire d’autres fichiers dans le répertoire de travail, continuant à rechercher des clés SSH.
Source: Sysdig
La phase d’accès aux informations d’identification a été réalisée en moins de trois minutes, selon un rapport de Sysdig. Environ une heure plus tard, l’attaquant a initié une seconde session d’exploitation en utilisant la même séquence d’exploit.
Les chercheurs constatent que l’attaquant semble être un “opérateur méthodique” adoptant une approche manuelle, plutôt que de recourir à des scripts automatisés, et se concentrant sur des objectifs de haute valeur, tels que le vol de données d’identification dans le fichier .env et des clés SSH.
Aucun effort n’a été fait pour installer des portes dérobées ou déployer des cryptomineurs, ce qui suggère une opération rapide et discrète.
Les utilisateurs de Marimo sont fortement conseillés de mettre à jour vers la version 0.23.0 immédiatement, de surveiller les connexions WebSocket vers ‘/terminal/ws’, de restreindre l’accès externe via un pare-feu, et de faire pivoter tous les secrets exposés. Si la mise à jour n’est pas possible, il est recommandé de bloquer ou de désactiver l’accès à l’endpoint ‘/terminal/ws’ entièrement.