Laut Sysdig wurde die erste Ausnutzung von CVE-2026-39987 genau 9 Stunden und 41 Minuten nach Veröffentlichung des Sicherheitshinweises registriert. Der Angreifer habe einen funktionsfähigen Exploit unmittelbar aus der Beschreibung des Hinweises gebaut, sich mit dem nicht authentifizierten Terminal-Endpunkt verbunden und damit begonnen, die kompromittierte Umgebung manuell zu durchsuchen.
Die technische Ursache benennen die Maintainer von Marimo deutlich: Anders als andere WebSocket-Endpunkte wie /ws, die korrekt die Funktion validate_auth() zur Authentifizierung aufrufen, prüfe der Endpunkt /terminal/ws vor dem Annehmen einer Verbindung lediglich den Betriebsmodus und die Plattformunterstützung — die Authentifizierungsprüfung werde vollständig übersprungen. Dadurch lässt sich ohne Anmeldung eine interaktive Shell öffnen.
Sysdig beobachtete die eigentliche Ausnutzung von einer einzelnen IP-Adresse aus. Weitere 125 Adressen waren an Aufklärungsaktivitäten beteiligt, etwa an Port-Scans und HTTP-Probing.
Den dokumentierten Angriff fing ein Honeypot von Sysdig ein. Der Angreifer verband sich mit dem verwundbaren Terminal-WebSocket-Endpunkt, führte zwei Minuten später eine manuelle Erkundung durch und kehrte sechs Minuten danach zurück, um Dateien mit Zugangsdaten zu exfiltrieren. Dabei versuchte er, jede Datei im Zielverzeichnis zu lesen, und suchte gezielt nach SSH-Schlüsseln. Der gesamte Vorgang war Sysdig zufolge innerhalb von drei Minuten abgeschlossen.
Betroffen sind alle Marimo-Versionen bis einschließlich 0.20.4. Die Maintainer raten zum Update auf Version 0.23.0 oder neuer, die die Korrekturen für die Schwachstelle enthält.