Die Sicherheitslücke CVE-2026-39987 in Marimo offenbart ein fundamentales Authentifizierungsproblem: Der WebSocket-Endpunkt /terminal/ws validiert Benutzerberechtigungen nicht ordnungsgemäß. Während andere WebSocket-Endpunkte wie /ws korrekt die Funktion validate_auth() aufrufen, verzichtet /terminal/ws komplett auf diese Sicherheitsüberprüfung. Angreifer können sich dadurch ohne jegliche Anmeldedaten eine vollständige interaktive Shell auf einem freiliegenden Marimo-System beschaffen.
Der im Sysdig-Report dokumentierte Angriff zeigt ein charakteristisches Muster manueller Rekognoszierung. Der Angreifer verband sich mit dem /terminal/ws-Endpunkt und erkundete systematisch das Dateisystem. Wenige Minuten später versuchte er gezielt, Umgebungsvariablen aus .env-Dateien auszulesen und SSH-Schlüssel zu finden. Über einen Zeitraum von 90 Minuten stellte der Angreifer vier separate Verbindungen her — ein Verhalten, das typisch für einen menschlichen Operator ist, der eine systematische Liste potenzieller Ziele abarbeitet.
Besonders alarmierend ist die Geschwindigkeit der Exploitation. Der Angreifer entwickelte seinen funktionierenden Exploit direkt aus der Sicherheitsmitteilung der Marimo-Entwickler, ohne dass öffentlich verfügbarer Exploit-Code existierte. Dies deutet auf erfahrene Angreifer hin, die Sicherheitsmeldungen aktiv monitoren und Schwachstellen sofort zu nutzen versuchen.
Für deutsche Unternehmen und Forschungsinstitutionen, die Marimo einsetzen, ergibt sich eine dringende Handlungsempfehlung: Ein Update auf Version 0.23.0 oder neuer ist zwingend erforderlich. Besonders kritisch ist der Einsatz von Marimo in Produktionsumgebungen oder mit Internetzugriff. Das Incident unterstreicht auch ein oft unterschätztes Risiko: Viele Sicherheitsfachleute gehen davon aus, dass Angreifer hauptsächlich weit verbreitete Plattformen attackieren. Doch wie dieser Fall zeigt, wird praktisch jede internetfähige Anwendung mit kritischer Schwachstelle zur potenziellen Zielscheibe — unabhängig von ihrer Popularität.
Die Tatsache, dass zwischen Disclosure und Exploitation nur wenige Stunden liegen, verkürzt das Zeitfenster für Verteidiger dramatisch. Während es früher Tage oder Wochen gab, um Patches einzuspielen, müssen Organisationen heute mit einer unmittelbaren Bedrohung rechnen. Ein effektives Patch-Management, fortlaufendes Monitoring von Sicherheitsmeldungen und die Implementierung von Netzwerk-Segmentierungsmaßnahmen werden dadurch zur notwendigen Grundlage der IT-Sicherheit.