Node-RED-servere infisert med malware via kritisk sårbarhet

white printing paper with numbers — Mika Baumeister / Unsplash

Angripere utnytter en kritisk sårbarhet i programverktøyet Node-RED for å infisere servere med malware. Dette rapporteres av cybersecurity-selskapet Vulncheck. Siemens kunngjorde sårbarheten (CVE-2026-58115) i august og opplyste at oppdateringer for problemet også var tilgjengelige.

CVE-2026-58115 gjelder mangel på autentisering i Node-RED HTTP-grensesnittet. En uautorisert angriper kan dermed få tilgang til programmeringsnoder som kan utføre systemkommandoer på serveren. Gjennom en ondsinnet 'Node-RED flyt' kan en angriper kjøre vilkårlig kode med maksimale rettigheter på den underliggende serveren, ifølge sikkerhetsbulletin fra Siemens. CVSS-virkningspoengsummen for sårbarheten er vurdert til 10.0 på en skala fra 1 til 10.

Siemens bruker Node-RED på SIMATIC IoT2050-gatewayen. Ifølge beskrivelsen fra Siemens skal IoT-gatewayen gjøre eksisterende fabrikker 'Industrial Internet of Things (IIoT) klare' uten at maskinvare eller programvare må endres. Cybersecurity-selskapet Vulncheck rapporterer at angripere misbruker CVE-2026-58115. Gjennom en ondsinnet flyt vil den sårbare Node-RED-serveren laste ned og kjøre malware fra angripernes server. Dette inkluderer blant annet en Linux-bot og webshell som fungerer som en bakdør. Det er for øyeblikket fortsatt uklart hva målet til angriperne er.