במחברת הפייתון marimo תוקנה חולשה שבה נקודת קצה של מסוף נשארה נגישה בלי בדיקת הרשאות. תוקף לא מזוהה יכול להתחבר אליה ולקבל מעטפת פקודות מלאה על המכונה. הציון שלה הוא 9.3, והיא נמצאת ברשימת החולשות המנוצלות בפועל.
מה החולשה?
marimo היא מחברת פייתון, כלי מהסוג שמדעני נתונים ומפתחים משתמשים בו כדי לכתוב ולהריץ קוד בתוך הדפדפן.
לכלי יש כמה נקודות קצה מסוג WebSocket, ערוץ תקשורת פתוח בין הדפדפן לשרת. לפי התיאור של הפרויקט, הנקודות הרגילות קוראות לפונקציית בדיקת ההרשאות כמצופה, אבל הנקודה שמובילה למסוף דילגה עליה: היא בדקה רק את מצב ההרצה ואת תמיכת הפלטפורמה, ולא מי מתחבר.
מי שמתחבר לנקודה הזאת מקבל מסוף חי על המכונה שמריצה את המחברת. זאת אינה הרצת קוד מוגבלת בתוך סביבה מבודדת אלא גישה ישירה לשורת הפקודה.
מה שהופך את המקרה הזה ללמידה טובה הוא שהבדיקה כן קיימת במערכת ופשוט לא הופעלה במקום אחד. חולשות מהסוג הזה נפוצות הרבה יותר מבאגים מתוחכמים, והן קשות לגילוי בדיוק מפני ששום דבר לא נראה שבור.
מי מושפע?
מי שמריץ marimo בגרסה מוקדמת מ-0.23.0.
בישראל זה נוגע בעיקר לצוותי מדעי נתונים ולסביבות מחקר. הסיכון מתרכז במופעים שרצים על שרת משותף או על מכונה בענן, ולא במחברת שרצה על המחשב האישי בלי חשיפה לרשת.
האם מנוצלת בפועל?
כן. ב-23 באפריל 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים מנצלים בשטח.
הכניסה לרשימה הזאת של כלי פיתוח, ולא של מוצר ארגוני, היא חלק ממגמה: תוקפים למדו שסביבות פיתוח ומחקר מכילות מפתחות גישה לענן ולעתים קרובות אינן מנוטרות כמו שרתי הייצור.
מה עושים?
עדכנו את marimo לגרסה 0.23.0 או חדשה יותר. פרטי החולשה נמצאים בהודעת האבטחה של הפרויקט.
ודאו שהמחברת אינה נגישה מהאינטרנט. מחברת שרצה על מכונה בענן ומאזינה לכל הכתובות היא המקרה המסוכן כאן, ולכן שווה לבדוק לאיזו כתובת השירות מאזין.
אם הרצתם גרסה חשופה על מכונה שפונה לאינטרנט, החליפו כל מפתח גישה שהיה זמין למכונה הזאת. תוקף שקיבל מסוף לוקח קודם כול את אסימוני הענן, והם ממשיכים לעבוד גם אחרי שהחולשה נסגרה.