情報取得日: 2026/04/09／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-39987 |
|---|---|
| 製品 | marimo-team / marimo (0.23.0 より前) |
| CVSS | 9.3（Critical） CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 種別 (CWE) | CWE-306 Missing Authentication for Critical Function |
| 登録／公開日 | 2026/04/09 |
| KEV 期限 | 2026/05/07 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従い更新を適用（緩和不能なら利用停止）。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-39987 |
リアクティブ Python ノートブック marimo の 0.23.0 より前のバージョンで、ターミナル用 WebSocket エンドポイント /terminal/ws に認証検証が無い。ネットワーク到達可能な marimo サーバに対し、未認証の攻撃者がシェルへ接続して任意のシステムコマンドを実行できる（プレ認証RCE、CVSS v4 9.3 Critical）。開発者が社内ネットワークやクラウドVM上で 0.0.0.0 バインドして起動しているケースが特に危険。上流は PR #9098 とコミット c24d480 で修正し、GHSA-2679-6mx9-h9xc として公開。CISA は KEV に追加（是正期限 2026-05-07）。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2/ECS 等で marimo を動かしている場合は 0.23.0 以降へ更新し、セキュリティグループで marimo のポートを外部公開しない。
顧客管理アプリの脆弱性。AWS 側の修正は無く、更新とネットワーク制限で対応。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine や GKE 上の marimo を 0.23.0 以降へ更新し、VPC ファイアウォールで該当ポートを閉じる。
顧客がインストールした marimo のみが対象。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM や AKS 上の marimo を 0.23.0 以降へ更新し、NSG で公開を制限する。
顧客管理アプリ側の更新で対応。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ディストリ配布ではなく PyPI パッケージのため、pip や uv で marimo 0.23.0 以降へ更新する。
主要ディストリの標準リポジトリには含まれないため、Python 環境ごとに更新が必要。
参照リンク
|
確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。
marimo を 0.23.0 以降へ更新する（pip install -U marimo や uv 等）。更新までの緩和として、待ち受けを 127.0.0.1 に限定し、リバースプロキシでの認証やトークン必須化、セキュリティグループ/ファイアウォールでの遮断を行う。ターミナル機能が不要な運用では公開ポートを外部へ出さない。
Critical（CVSS 9.3）に分類されるmarimo-team marimo (0.23.0 より前)の脆弱性です。リアクティブ Python ノートブック marimo の 0.23.0 より前のバージョンで、ターミナル用 WebSocket エンドポイント /terminal/ws に認証検証が無い。ネットワーク到達可能な marimo サーバに対し、未認証の攻撃者がシェルへ接続して任意のシステムコマンドを実行できる（プレ認証RCE、CVSS v4 9.3 Critical）。開発者が社内ネットワークやクラウドVM上で 0.0.0.0 バインドして起動しているケースが特に危険。上流は PR #9098 とコミット c24d480 で修正し、GHSA-2679-6mx9-h9xc として公開。CISA は KEV に追加（是正期限 2026-05-07）。
marimo を 0.23.0 以降へ更新する（pip install -U marimo や uv 等）。更新までの緩和として、待ち受けを 127.0.0.1 に限定し、リバースプロキシでの認証やトークン必須化、セキュリティグループ/ファイアウォールでの遮断を行う。ターミナル機能が不要な運用では公開ポートを外部へ出さない。
marimo-team marimo (0.23.0 より前) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-39987）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/07 です。推奨される対応: ベンダーの指示に従い更新を適用（緩和不能なら利用停止）。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。