Marimo误差披露仅10小时后遭黑客使用

宣布时间 2026-04-13

1. Marimo误差披露仅10小时后遭黑客使用


4月12日，Marimo是一个备受欢迎的开源响应式Python notebook平台，其一个严重误差在果真披露仅10小时后就被黑客起劲使用。该误差编号为CVE-2026-39987，GitHub对其严重水平评分为9.3分，允许攻击者在Marimo 0.20.4及更早版本中无需任何身份验证即可远程执行代码。Marimo通常被数据科学家、机械学习从业者、研究职员和开发职员用于构建数据应用程序或仪表板，在GitHub上拥有20,000个star和1,000个fork，用户基础普遍。该误差的基础缘故原由在于WebSocket端点“/terminal/ws”袒露了交互式终端，但未举行适当的身份验证检查，使得任何未经身份验证的客户端都可以直接毗连，获得与Marimo历程相同权限的完整交互式shell。Marimo于4月8日披露了该误差，并于昨日宣布了0.23.0版本举行修复�？⒄咧赋�，该误差主要影响将Marimo安排为可编辑条记本的用户，以及在编辑模式下使用--host 0.0.0.0将Marimo袒露于共享网络的用户。据云清静公司Sysdig的研究职员称，在误差详情披露后的前12小时内，就有125个IP地址最先举行侦探运动。披露后不到10小时，研究职员就视察到了第一次使用实验。


https://www.bleepingcomputer.com/news/security/critical-marimo-pre-auth-rce-flaw-now-under-active-exploitation/


2. 黑客声称控制了威尼斯圣马可广场的防洪泵系统


4月12日，克日，意大利威尼斯圣马可广场的防洪液压泵系统遭到网络攻击，一个自称“基础设施破损小组”或“漆黑引擎”的组织声称已获得系统管理权限，并扬言可以“瘫痪防御系统并淹没沿海地区”，将网络入侵演变为潜在的物理灾难。该组织在其Telegram频道上宣布中文帖子，宣称已完全控制意大利基础设施和交通手下属的防洪系统，并果真以600美元的价钱出售系统的完全root权限。虽然政府确认�；なヂ砜纱蠼烫玫囊ο低澄词苡跋�，但该事务袒露了一个令人担心的现实：纵然是具有高度象征意义和战略意义的基础设施，也可能被探测、会见和使用。与古板IT系统差别，OT系统直接与物理历程交互。一旦遭到破损，效果不但是数据丧失，还会导致服务中止、经济损失，甚至威胁公共清静。此次攻击始于3月下旬，攻击者入侵了系统控制界面，4月初最先宣布控制面板截图、系统结构图和阀门状态图等证据。


https://securityaffairs.com/190679/hacktivism/hackers-claim-control-over-venice-san-marco-anti-flood-pumps.html


3. 近4000台美国工业装备遭受伊朗网络攻击


4月10日，与伊朗有关联的黑客组织正一连对美国要害基础设施网络提倡攻击，目的包括数千台由罗克韦尔自动化公司制造的、袒露在互联网上的可编程逻辑控制器（PLC）。凭证美国多个联邦机构周二宣布的团结通告，自2026年3月以来，伊朗国家支持的黑客组织一直以Rockwell Automation/Allen-Bradley PLC装备为目的，已造成运营中止和经济损失。报告机构忠言称，这些攻击运动最近有所升级，很可能是对伊朗与美国和以色列之间仇视行动的回应。联邦视察局认定，攻击行为已导致装备项目文件被提取，以及人机界面和监控系统显示屏上的数据遭到改动。网络清静公司Censys越日报告称，在全球发明的5200多个袒露在互联网上的此类工业控制系统中，四分之三来自美国。数据显示，全球有5,219个袒露于互联网的主机响应EtherNet/IP协议并自称为罗克韦尔自动化装备，其中美国占全球袒露量的74.6%，共3,891个主机。值得注重的是，蜂窝运营商ASN的份额不可比例地高，批注现场安排的装备位于蜂窝调制解调器上，进一步扩大了攻击面。


https://www.bleepingcomputer.com/news/security/nearly-4-000-us-industrial-devices-exposed-to-iranian-cyberattacks/


4. CPUID遭入侵，CPU-Z/HWMonitor下载链接被改动


4月10日，黑客乐成获得了CPUID项目的API会见权限，并改动了官方网站上的下载链接，将盛行的硬件检测工具CPU-Z和HWMonitor的装置程序替换为恶意可执行文件。这两个适用程序拥有数百万用户，他们依赖这些工具来跟踪盘算机内部硬件的物理康健状态和系统周全规格。近期，在Reddit上下载这两款工具的用户报告称，官方下载门户指向Cloudflare R2存储服务，获取的却是另一款诊断工具HWiNFO的木马版本。CPUID讲话人提供声明称，视察仍在举行中，但起源判断4月9日至10日时代，一个辅助功效（外部API）遭到入侵，一连时间约6小时，导致主网站随机显示恶意链接，但官方署名的原始文件未受影响。入侵被发明后已修复�？ò退够芯恐霸逼饰鲋赋�，此次入侵从4月9日15:00 UTC一连到4月10日10:00 UTC左右，攻击者散布了CPU-Z 2.19、HWMonitor Pro 1.57、HWMonitor 1.63和PerfMonitor 2.04的恶意版本。凭证卡巴斯基监测，凌驾150名用户下载了恶意变种，除小我私家用户外，主要位于巴西、俄罗斯和中国的零售、制造、咨询、电信和农业等行业的企业也受到影响。


https://www.bleepingcomputer.com/news/security/supply-chain-attack-at-cpuid-pushes-malware-with-cpu-z-hwmonitor/


5. Storm-2755发动人为挟制攻击窃取加拿大员工人为


4月10日，一个名为Storm-2755的、以经济利益为目的的威胁行为者，正通过挟制加拿大员工的账户，发动人为重定向（又称人为挟制）攻击，窃取员工的人为。攻击者使用恶意Microsoft 365登录页面，通过恶意广告或SEO投毒将这些页面推至搜索引擎效果顶部，诱骗受害者输入凭证。这些伪装成Microsoft 365登录表单的恶意网页，能够捕获受害者的身份验证令牌和会话cookie。Storm-2755通过重放被盗的会话令牌而非重新举行身份验证，乐成绕过了中心人攻击中的多因素身份验证�；��；袢≡惫ふ嘶Щ峒ㄏ藓�，攻击者首先建设收件箱规则，自动将人力资源部分发送的包括“直接存款”或“银行”字样的邮件移动到隐藏文件夹，阻止受害者审查这些邮件。随后，他们搜索“人为”、“人力资源”、“直接存款”和“财务”等要害词，向人力资源部分员工发送主题为“关于直接存款的问题”的垂纶邮件，诱骗员工更新银行信息。当社交工程攻击失败后，攻击者直接登录Workday等人力资源软件平台，使用窃取的会话手动更新直接存款详情，将人为转入自己控制的账户。


https://www.bleepingcomputer.com/news/microsoft/microsoft-canadian-employees-targeted-in-payroll-pirate-attacks/


6. 国际执法行动确认超2万名加密钱币诈骗受害者


4月11日，由英国国家犯法视察局牵头的国际执法行动“大西洋行动”已确认，在加拿大、英国和美国境内有凌驾20,000名加密钱币诈骗受害者。这项团结行动于上个月睁开，加入方包括英国国家犯法视察局、美国特勤局、安简陋省警员局、安简陋省证券委员会以及多家私营企业合作伙伴。英国国家犯法视察局体现，在为期一周的行动中，多个执法机构在其伦敦总部通过实时情报共享、手艺能力和受害者援助，在全球规模内捣毁了多个诈骗网络，伦敦金融城警员局、金融行为羁系局和其他国际执法机构也加入了此次行动。视察职员冻结了凌驾1200万美元的涉嫌犯法所得，这些款子是通过“授权垂纶”攻击获得的。在这种攻击中，诈骗分子通常通过投资圈套诱骗受害者授予其会见加密钱币钱包的权限。别的，执法职员还查明晰与全球诈骗运动相关的凌驾4500万美元的被盗加密钱币。官员们体现，“大西洋行动”中使用的公私合作模式将成为英国政府最近宣布的反诓骗战略的焦点要素，该战略将行业数据和执法专业知识联系起来，以实现诓骗预防。


https://www.bleepingcomputer.com/news/security/police-identifies-20-000-victims-in-international-crypto-fraud-crackdown/