Exploitation rapide de CVE-2026-39987 à Marimo et campagne de masse de Reis à la mine XMRig

Deux enquêtes récentes - l'une de Sysdig et l'autre de Hunt.io - soulignent que la séparation entre la découverte d'une vulnérabilité et son exploitation a été considérablement réduite : non seulement les outils basés sur l'intelligence artificielle accélèrent les attaques, mais les opérateurs humains très duchés peuvent se déplacer au même rythme et avec une grande furtivité. Sysdig documente une intrusion où, après avoir exploité une vulnérabilité à Marimo (déclaré CVE-2026-39987), un attaquant a obtenu d'une connexion WebSocket une chaîne de pivots qui lui a permis de récupérer une clé privée AWS Secrets Manager et de s'authentifier par SSH à un bastion en quelques secondes. En parallèle, Hunt.io décrit une campagne massive de cryptominerie qui a compromis des milliers d'instances de Redis par la réplication malveillante et d'autres techniques de persistance.

Faits confirmés : Sysdig a signalé l'exploitation active de CVE-2026-39987 à Marimo, avec un acteur qui a obtenu un shell interactif et, en utilisant les identifiants obtenus de la machine engagée, appelé AWS Secrets Manager pour récupérer une clé privée et connecter SSH à un bastion. Selon l'enregistrement Sysdig publié, l'opérateur n'a pris que huit secondes pour pivoter de la violation initiale à l'authentification SSH dans le bastion. Hunt.io a confirmé la vérification de 3 562 Reis serveurs exposés sur Internet, utilisant principalement la réplication (commande SLAVEOF / REPLICAOF) pour injecter des charges utiles qui déploient XMRig.

Informations estimées ou encore incertaines: Il n'y a pas d'attribution publique et fiable sur le groupe qui est derrière les intrusions; il n'est pas non plus complètement clair la portée finale des exfiltrations possibles effectuées après l'accès au bastion ou s'il y a eu un accès post-accès à des comptes AWS supplémentaires. Sysdig a déclaré que l'opérateur n'avait pas utilisé d'agents de l'IA et que les outils avaient été écrits « à la main » au cours de la session; cette déclaration est fondée sur la télémétrie et l'analyse des tactiques, des techniques et des procédures, mais la possibilité que l'agresseur ait utilisé des outils automatisés en dehors de la session observée ne peut être exclue.

Techniquement, la chaîne d'attaque décrite par Sysdig suit ce schéma : exploitation préauthentiquée de la fonctionnalité du terminal WebSocket exposée par Marimo pour l'exécution à distance ; recherche et extraction d'identificateurs locaux (fichiers de configuration ou variables d'environnement) qui vous ont permis d'appeler AWS Secrets Manager et de récupérer une clé privée ; écriture de cette clé sur disque et authentification par SSH au bastion. Le vecteur clé ici est qu'une application avec un paramètre interactif WebSocket a exposé une zone qui, une fois violée, a donné accès aux identifiants dans l'hôte lui-même. Dans le cas de Reis, la technique qui a fonctionné sur une échelle était d'utiliser SLAVEOF pour inciter le serveur cible à reproduire les données contrôlées par l'attaquant; ce contenu peut se retrouver dans le fichier AOF et, avec des conditions suffisantes, injecter des clés SSH ou d'autres artefacts persistants. Pour plus de détails sur la commande Reis replication, voir la documentation officielle à de l'environnement.

Les personnes touchées: organisations qui exécutent Marimo sans correctifs ou avec des configurations qui exposent l'extrémité du terminal WebSocket sur Internet; comptes et systèmes AWS qui stockent des secrets accessibles à partir d'instances endommagées; serveurs Reds exposés au port 6379 sans authentification ou avec des ACL faibles; sites WordPress périmés qui peuvent être identifiés par balayage automatisé. La variété des victimes - des vieux serveurs au noyau récent, selon Hunt.io - montre que le vecteur ne dépend pas tant de versions spécifiques que de configurations dangereuses ou de services inutilement exposés.

Les conséquences pratiques sont tangibles : accès attesté aux bastions SSH (bloc de contrôle des infrastructures critiques), vol de clé privée par Secrets Manager (risque de déplacement latéral et d'escalade), déploiement de mineurs XMRig qui consomment des ressources et augmentent les coûts opérationnels, et déploiement potentiel de portes arrière persistantes. Au niveau organisationnel, ces intrusions peuvent entraîner des interruptions de service, des coûts d'abus de cloud et le risque d'utiliser un accès compromis pour des actions plus nuisibles (exfiltration, destruction de données, ransomware).

Ce que le lecteur devrait faire (mesures concrètes et prioritaires):

1) Garez et réduisez la surface. Mettre à jour Marimo et tout autre logiciel avec des paramètres interactifs; appliquer des correctifs dès qu'ils sont disponibles et bloquer l'accès externe aux paramètres d'administration. Si vous ne pouvez pas vous garer immédiatement, limitez l'accès au moyen de listes de contrôle d'accès et de pare-feu.

2) Segmenter et resserrer l'accès aux bastions. Limiter les IP qui peuvent accéder au bastion, forcer l'authentification multifactorielle et envisager d'utiliser des mécanismes de session gérés (p. ex. gestionnaire de session AWS Systems Manager) plutôt que d'ouvrir SSH directement au public. Examiner et faire pivoter les clés privées potentiellement compromises.

3) Minimiser les privilèges dans Secrets Manager et faire pivoter les secrets. Appliquer les politiques de l'IAM avec le principe de moins de privilège : une instance ne devrait pas être en mesure de lire des secrets dont elle n'a pas besoin. Activez CloudTrail et alertes sur les appels inhabituels GetSecretValue dans AWS ; auditez l'accès secret et la racine s'il y a des signes d'exposition. Le Guide du gestionnaire des secrets AWS est disponible à docs.aws.amazon.com.

4) Protéger Reis et les services de base de données exposés. Ne pas exposer Reis à Internet public; activer l'authentification, utiliser des ACL et se lier à l'hôte local ou à un réseau privé. Bloquer le port 6379 dans les périmètres publics et surveiller les connexions de réplication entrantes. Pour les attaques basées sur AOF, avoir des politiques d'intégrité et ne pas permettre aux processus externes d'écraser les fichiers critiques.

5) Détection et réponse: détection instrumentale pour des modèles observés spécifiques: connexions inattendues de WebSocket aux terminaux terminaux, appels à Secrets Manager à partir d'instances qui ne devraient pas en avoir besoin, création de fichiers clés privés sur disques éphémères, pics de commande interactifs et processus qui installent des mineurs tels que XMRig (information sur XMRig dans xmrig.com). Établir des alertes de réponse rapide et des livres de lecture qui comprennent l'isolement de la machine, la capture de l'inclinaison et la rotation des lettres de créances.

6) Réviser et durcir les déploiements WordPress. Désactiver XML-RPC si elle n'est pas utilisée, garder les plugins et le noyau à jour, et limiter les informations exposées qui peuvent fournir la numérisation automatisée.

En conclusion, les cas décrits ci-dessus montrent deux leçons : premièrement, la vitesse de fonctionnement peut provenir à la fois de l'automatisation et de l'expertise humaine; deuxièmement, la vulnérabilité la plus exploitée n'est pas toujours une défaillance technique opportune, mais la combinaison de logiciels et de configurations vulnérables qui exposent les références et les services clés. Prévenir signifie réduire l'exposition, appliquer le principe de moins de privilège et établir une détection précoce spécifique pour les chaînes de pivots impliquant l'accès aux secrets et aux bastions. Pour lire et suivre les rapports originaux, vous pouvez consulter les ressources des pages de recherche de Sysdig et Hunt.io : sysdig.com / blog et chasse.io / blog.