آسیب‌پذیری بحرانی RCE پیش از احراز هویت در Marimo اکنون به طور فعال مورد بهره‌برداری قرار می‌گیرد

تنها ۱۰ ساعت پس از افشای عمومی یک آسیب‌پذیری بحرانی در پلتفرم متن‌باز Marimo (یک محیط نوت‌بوک تعاملی پایتون)، هکرها بهره‌برداری از آن را آغاز کردند. این نقص که با شناسه CVE-2026-39987 ردیابی می‌شود و امتیاز بحرانی ۹.۳ از ۱۰ را از سوی GitHub دریافت کرده، به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (authentication)، اجرای کد از راه دور (remote code execution) را در نسخه‌های ۰.۲۰.۴ و قدیمی‌تر این پلتفرم انجام دهند. این آسیب‌پذیری ناشی از نقص در نقطه پایانی وب‌سوکت (WebSocket endpoint) با مسیر `/terminal/ws` است که یک ترمینال تعاملی را بدون بررسی‌های احراز هویت در معرض دسترسی قرار می‌دهد. Marimo این نقص را در ۸ آوریل فاش کرد و نسخه ۰.۲۳.۰ را برای رفع آن منتشر ساخت.

بر اساس گزارش شرکت امنیت ابری Sysdig، در ۱۲ ساعت نخست پس از افشای جزئیات آسیب‌پذیری، ۱۲۵ آدرس IP فعالیت‌های شناسایی (reconnaissance) را آغاز کردند. مهاجم در کمتر از سه دقیقه فایل `.env` را هدف قرار داد و اطلاعات حساسی از جمله اعتبارنامه‌های ابری (cloud credentials) و کلیدهای SSH را سرقت کرد. محققان این عملیات را به یک «اپراتور روش‌مند» با رویکرد دستی نسبت می‌دهند که بر اهداف ارزشمند متمرکز بوده و تلاشی برای نصب بدافزار پایدار یا استقرار ابزارهای استخراج ارز دیجیتال (cryptominer) انجام نداده است. به کاربران Marimo توصیه می‌شود فوراً به نسخه ۰.۲۳.۰ ارتقا دهند، دسترسی به نقطه پایانی `/terminal/ws` را محدود کنند و تمام اطلاعات احراز هویت افشاشده را تغییر دهند.