Des serveurs Node-RED infectés par un malware via une vulnérabilité critique

Green computer code text scrolling on a dark screen during a software installation — Jake Walker / Unsplash

Des attaquants exploitent une vulnérabilité critique dans l'outil de programmation Node-RED pour infecter des serveurs avec un malware. Cela a été rapporté par l'entreprise de cybersécurité Vulncheck. Siemens a annoncé l'existence de la vulnérabilité (CVE-2026-58115) en août et a indiqué qu'il y avait également des mises à jour disponibles pour résoudre le problème.

La vulnérabilité CVE-2026-58115 concerne l'absence d'authentification dans l'interface HTTP de Node-RED. Un attaquant non authentifié peut ainsi accéder aux nœuds de programmation qui peuvent exécuter des commandes système sur le serveur. Grâce à un "flux Node-RED" malveillant, un attaquant peut exécuter un code arbitraire avec des droits maximaux sur le serveur sous-jacent, comme l'indique le bulletin de sécurité de Siemens. Le score d'impact CVSS de cette vulnérabilité a été évalué à 10.0 sur une échelle de 1 à 10.

Siemens utilise Node-RED sur la passerelle SIMATIC IoT2050. Selon la description de Siemens, la passerelle IoT doit rendre les usines existantes prêtes pour l'Internet industriel des objets (IIoT), sans nécessiter d'adaptation matérielle ou logicielle. Vulncheck signale que les attaquants exploitent la CVE-2026-58115. À travers un flux malveillant, le serveur Node-RED vulnérable téléchargera et exécutera un malware à partir du serveur des attaquants, y compris un bot Linux et une webshell qui agit comme une porte dérobée. Il est actuellement inconnu quel est l'objectif des attaquants.