Serwery Node-RED zainfekowane złośliwym oprogramowaniem przez krytyczną lukę

a piece of paper with numbers on it — Roberto Sorin / Unsplash

Atakujący wykorzystują krytyczną lukę w narzędziu programistycznym Node-RED do infekowania serwerów złośliwym oprogramowaniem. Informuje o tym firma zajmująca się cyberbezpieczeństwem Vulncheck. Siemens ujawnił istnienie luki (CVE-2026-58115) w sierpniu i podał, że dostępne są również aktualizacje rozwiązujące problem.

CVE-2026-58115 dotyczy braku uwierzytelnienia w interfejsie HTTP Node-RED. Nieautoryzowany atakujący może uzyskać dostęp do węzłów programistycznych, które mogą wykonywać polecenia systemowe na serwerze. Przy pomocy złośliwego „przepływu Node-RED” atakujący może wykonać dowolny kod z maksymalnymi uprawnieniami na serwerze, według biuletynu bezpieczeństwa Siemensa. Wskaźnik wpływu CVSS dla tej luki został oceniony na 10.0 w skali od 1 do 10.

Siemens wykorzystuje Node-RED w bramie SIMATIC IoT2050. Zgodnie z opisem Siemensa, brama IoT ma na celu uczynienie istniejących fabryk gotowymi na „Przemysłowy Internet Rzeczy (IIoT)”, bez potrzeby dostosowywania sprzętu lub oprogramowania. Vulncheck informuje, że atakujący nadużywają CVE-2026-58115. Poprzez złośliwy przepływ, podatny serwer Node-RED pobiera i uruchamia złośliwe oprogramowanie z serwera atakujących, w tym bota Linux oraz webshell, który pełni funkcję backdoora. Na ten moment nie jest znany cel atakujących.