Una vulnerabilidad de seguridad crítica en el framework de notebooks de Python, Marimo, está siendo explotada activamente para lograr la ejecución remota de código (RCE) previa a la autenticación, lo que permite a los atacantes obtener el control total de los sistemas expuestos.

Identificada como CVE-2026-39987, la falla se debe a la falta de una comprobación de autenticación en un endpoint de terminal WebSocket, lo que permite a los atacantes generar shells a nivel de sistema sin necesidad de iniciar sesión.

Los investigadores de seguridad advierten que la vulnerabilidad ya está siendo utilizada para desplegar el malware NKAbuse, con payloads alojados en Hugging Face Spaces, una plataforma cada vez más popular para compartir herramientas de IA y aplicaciones de aprendizaje automático.

Vulnerabilidad de Seguridad de Marimo

El problema afecta a las versiones de Marimo ≤ 0.22.x en relación con el endpoint WebSocket /terminal/ws.

Debido a un control de acceso inadecuado, el endpoint acepta conexiones no autenticadas. Lanza directamente una sesión de pseudo-terminal (PTY) utilizando pty.fork().

A diferencia de otros endpoints protegidos, /terminal/ws carece de la aplicación de autenticación, lo que crea una brecha de seguridad crítica.

El problema surge de la falta de comprobaciones de control de acceso en el manejador de WebSocket:

@router.websocket("/terminal/ws")
async def websocket_endpoint(websocket: WebSocket) -> None:
    await websocket.accept()
    child_pid, fd = pty.fork() # Genera shell del sistema

Una vez conectados, los atacantes obtienen acceso interactivo a la shell y pueden ejecutar comandos arbitrarios en el sistema anfitrión.

Marimo se utiliza ampliamente como una alternativa moderna a Jupyter Notebook, particularmente en:

• Prototipado de IA y aprendizaje automático.
• Experimentos de ciencia de datos.
• Paneles de análisis internos.
• Flujos de trabajo de investigación e ingeniería.

Estos entornos suelen ejecutarse en contenedores o infraestructura en la nube, con acceso a recursos sensibles como claves API, bases de datos y servicios internos.

Debido a que Marimo ejecuta código Python real e interactúa directamente con el sistema, la explotación de este fallo conduce a un compromiso inmediato y completo.

Un exploit básico de Python se ve así:

import websocket
ws = websocket.WebSocket()
ws.connect("ws://target:2718/terminal/ws")
ws.send("id\n")
print(ws.recv())
ws.close()

Según Resecurity, la explotación es sencilla y no requiere autenticación.

• El atacante se conecta a ws://target:2718/terminal/ws.
• El servidor acepta la conexión sin validar la identidad.
• Se genera una shell respaldada por PTY en el sistema.
• El atacante ejecuta comandos como whoami e id, o ejecuta scripts de extracción de datos.

Esto convierte efectivamente la instancia vulnerable en una terminal accesible remotamente.

Los actores de amenazas están aprovechando la falla para distribuir el malware NKAbuse, extrayendo payloads de repositorios alojados en Hugging Face.

Esto resalta una tendencia creciente en la que se abusan de plataformas de IA legítimas para distribuir herramientas maliciosas, mimetizándose con la actividad normal de los desarrolladores.

Una explotación exitosa puede resultar en:

• Compromiso total del sistema mediante RCE previa a la autenticación.
• Exposición de datos sensibles, incluidos archivos .env, claves API y credenciales.
• Movimiento lateral a través de redes internas.
• Persistencia mediante trabajos de cron o scripts de inicio.
• Escape de contenedor o compromiso a nivel de host en entornos mal configurados.
• Robo de modelos de IA y conjuntos de datos propietarios.

Debido a que las instancias de Marimo suelen estar dentro de entornos confiables, una sola brecha puede escalar a un incidente de infraestructura más amplio.

La vulnerabilidad surge de un modelo de seguridad de WebSocket defectuoso. Aunque Marimo utiliza un middleware de autenticación, no aplica el control de acceso a nivel de endpoint. Como resultado:

• Endpoint /ws → correctamente protegido.
• Endpoint /terminal/ws → sin comprobaciones de autenticación.

Esta inconsistencia crea una omisión de autenticación, exponiendo una funcionalidad peligrosa directamente a los atacantes.

Mitigación y Recomendaciones

Se insta a las organizaciones a tomar medidas inmediatas:

• Actualiza a Marimo 0.23.0 o posterior.
• Evita exponer las instancias a redes públicas.
• Restringe el acceso utilizando VPNs o proxies inversos autenticados.
• Ejecuta los contenedores como no root y limita los privilegios.
• Rota los secretos y elimina los datos sensibles de los entornos de notebooks.
• Monitorea la actividad sospechosa de WebSocket y el comportamiento de generación de shells.

Tus equipos de seguridad deberían asumir un posible compromiso y buscar proactivamente mecanismos de persistencia o movimientos laterales inusuales.

Esta vulnerabilidad subraya una lección crítica: los endpoints de WebSocket requieren una aplicación explícita de la autenticación.

En entornos de alto riesgo, como las plataformas de IA y ciencia de datos, incluso un solo descuido puede abrir la puerta a la toma total del sistema.