Introduzione
Nel mondo della sicurezza informatica, il tempo che intercorre tra la scoperta di una falla e il suo sfruttamento da parte di malintenzionati si sta riducendo drasticamente. Il caso della vulnerabilità CVE-2026-39987, emerso nell’aprile 2026, ne è un esempio concreto e preoccupante. Protagonista è Marimo, uno strumento open source per la scrittura di notebook in linguaggio Python, utilizzato da una comunità di sviluppatori e ricercatori in tutto il mondo.
Cosa è successo
L’8 aprile 2026 è stata resa pubblica una vulnerabilità critica all’interno di Marimo, uno strumento che conta quasi 20.000 stelle su GitHub, un indicatore della sua popolarità nella comunità del software libero. La falla, classificata con un punteggio di gravità di 9.3 su 10, è stata definita critica perché consente a un aggressore di prendere il controllo completo di un sistema senza dover fornire alcuna credenziale di accesso.
In termini semplici, Marimo include una funzionalità di terminale accessibile via browser. Questo canale di comunicazione, tecnicamente chiamato endpoint WebSocket, era privo di qualsiasi verifica dell’identità dell’utente. Chiunque, anche senza un account, poteva connettersi e impartire comandi al sistema sottostante come se fosse il proprietario della macchina.
La gravità della situazione è diventata evidente quasi subito: in meno di dieci ore dalla divulgazione pubblica, precisamente entro nove ore e quarantuno minuti, sono stati registrati i primi tentativi di sfruttamento reale della vulnerabilità. Il team di ricerca sulla sicurezza di Sysdig ha installato appositamente dei sistemi-esca, chiamati honeypot, per monitorare i comportamenti degli aggressori. Quello che hanno osservato è indicativo: in alcuni casi, operazioni di furto di credenziali sono state portate a termine in meno di tre minuti dall’accesso. Gli attaccanti hanno condotto scansioni automatizzate di internet alla ricerca di installazioni di Marimo sulla porta predefinita 10101, e una volta individuati i sistemi vulnerabili hanno installato software per il mining di criptovalute e strumenti per mantenere un accesso remoto persistente.
Tutte le versioni di Marimo fino alla 0.20.4 inclusa risultano vulnerabili. La correzione è disponibile a partire dalla versione 0.23.0.
Perché è importante
Questo episodio mostra come anche strumenti pensati principalmente per sviluppatori e ricercatori, e non per ambienti di produzione critici, possano diventare punti di ingresso per attività malevole. Chi espone Marimo su reti accessibili pubblicamente, anche solo per convenienza lavorativa, potrebbe aver messo a rischio l’intera macchina o la rete aziendale. Non sono noti, al momento della stesura di questo articolo, dati precisi sul numero di sistemi effettivamente compromessi.
Cosa possono fare aziende e utenti
La prima azione da compiere è aggiornare Marimo alla versione 0.23.0 o successiva. Chi non può aggiornare immediatamente dovrebbe assicurarsi che lo strumento non sia accessibile da reti esterne o non fidate. In ogni caso, è opportuno verificare i log di sistema per individuare eventuali accessi anomali avvenuti dopo l’8 aprile 2026.
Takeaway finali
- Una vulnerabilità critica in Marimo ha permesso l’accesso completo ai sistemi senza alcuna autenticazione, con i primi attacchi registrati in meno di dieci ore dalla sua divulgazione pubblica.
- Gli aggressori hanno agito in modo rapido e automatizzato, sfruttando la falla per installare miner di criptovalute e mantenere accessi remoti.
- Aggiornare alla versione 0.23.0 è la misura correttiva disponibile; limitare l’esposizione in rete dello strumento rimane una buona pratica indipendentemente dagli aggiornamenti.
Fonti
https://securityaffairs.com/190623/hacking/cve-2026-39987-marimo-rce-exploited-in-hours-after-disclosure.html
https://www.thecybersignal.com/zero-to-exploit-in-10-hours-critical-rce-flaw-in-marimo-python-notebooks-under-active-attack/
https://www.endorlabs.com/learn/root-in-one-request-marimos-critical-pre-auth-rce-cve-2026-39987
https://www.sysdig.com/blog/marimo-oss-python-notebook-rce-from-disclosure-to-exploitation-in-under-10-hours
https://thehackernews.com/2026/04/marimo-rce-flaw-cve-2026-39987.html
https://www.securityweek.com/critical-marimo-flaw-exploited-hours-after-public-disclosure/
Fonte: Articolo originale