Node-RED-servrar infekterade med malware via kritisk sårbarhet

Vertical columns of glowing green digital code against a dark black background — Markus Spiske / Unsplash

Angripare utnyttjar en kritisk sårbarhet i programmeringsverktyget Node-RED för att infektera servrar med malware. Detta rapporteras av cybersäkerhetsföretaget Vulncheck. Siemens offentliggjorde existensen av sårbarheten (CVE-2026-58115) i augusti och meddelade att uppdateringar för problemet också var tillgängliga.

CVE-2026-58115 handlar om avsaknaden av autentisering inom Node-RED:s HTTP-gränssnitt. En icke-autentiserad angripare kan därmed få åtkomst till programmeringsnoder som kan utföra systemkommandon på servern. Genom en illasinnad "Node-RED flow" kan en angripare köra godtycklig kod med maximala rättigheter på den underliggande servern, enligt säkerhetsbulletinen från Siemens. CVSS-påverkanspoängen för sårbarheten har bedömts till 10.0 på en skala från 1 till 10.

Siemens använder Node-RED på SIMATIC IoT2050-gatewayen. Enligt beskrivningen från Siemens ska IoT-gatewayen göra befintliga fabriker "Industrial Internet of Things (IIoT) redo" utan att hårdvara eller mjukvara behöver ändras. Vulncheck rapporterar att angripare utnyttjar CVE-2026-58115. Genom en illasinnad flow kommer den sårbara Node-RED-servern att ladda ner och köra malware från angriparnas server. Det handlar bland annat om en Linux-bot och en webshell som fungerar som en bakdörr. I nuläget är det fortfarande oklart vad angriparnas mål är.