Node-RED — низкокодовый инструмент визуального программирования, в котором приложения собирают из потоков (flow) в браузерном редакторе. Его ставят в промышленные и коммерческие системы, включая устройства ICS/OT. Именно поэтому уязвимость CVE-2026-58115 с оценкой CVSS 10.0 из 10 привлекла внимание атакующих: компания VulnCheck по анализу уязвимостей сообщила, что дыру уже эксплуатируют для доставки вредоносной нагрузки.
Суть проблемы — отсутствие аутентификации на HTTP-интерфейсе Node-RED. Неавторизованный злоумышленник получает доступ к узлам программирования, которые умеют выполнять системные команды, и может собрать вредоносный поток, исполняющий произвольный код на сервере.
Что нашла Siemens и что исправили
CVE-2026-58115 обнаружили в устройствах SIMATIC IoT2050 Advanced под управлением Industrial OS с установленным Node-RED. Siemens раскрыла информацию 11 августа. По формулировке вендора, уязвимость «может позволить неаутентифицированному удалённому атакующему создавать вредоносные потоки и выполнять произвольный код на нижележащем сервере с максимальными привилегиями».
Патчи содержатся в SIMATIC IoT2050 Advanced версии 4.3.4.1 и новее. Но проблема не только в устройствах Siemens: сам Node-RED остаётся открытым, если его HTTP-интерфейс доступен без adminAuth.
Атака 30 октября: три слоя кодирования и Linux-бот
VulnCheck предупредила о наблюдаемой эксплуатации 30 октября. Запрос пришёл с IP-адреса в AS8075 — сети Microsoft — и представлял собой полный эксплойт. По описанию исследователей, он развернул поток Node-RED, автоматически его запустил и скачал бинарник с сервера, контролируемого атакующими, — всё это было спрятано за тремя слоями кодирования.
Полезной нагрузкой оказался Linux-бот. Команда запуска не проверяла, установился ли он. Судя по имени файла, злоумышленники подготовили полезные нагрузки под несколько архитектур.
К 1 ноября VulnCheck зафиксировала ещё 15 атак с того же IP-адреса. Они доставляли другие полезные нагрузки, в том числе постоянные веб-шеллы, дающие выполнение произвольных команд на скомпрометированных серверах.
Картина, которую описывает VulnCheck, проста и неприятна: атакующие массово сканируют интернет в поисках экземпляров Node-RED без adminAuth и эксплуатируют их автоматически одним HTTP-запросом. Ручной работы здесь не требуется — уязвимость с CVSS 10.0 сама по себе достаточно, чтобы сканер превратился в инструмент захвата сервера.
Та же логика «открытый сервис — автоматический эксплойт» прослеживается в череде других громких инцидентов этого года, от уязвимости в Collabora Online до 0-day в Cisco ISE.
Что проверить администратору
Рекомендация VulnCheck прямая: если Node-RED работает где угодно, включая встраивание в среду ICS/OT, проверьте, доступен ли он снаружи вашей сети сегодня же. Заодно просмотрите развёрнутые потоки на неожиданные узлы exec или HTTP-эндпоинты — часть атакующих оставляет именно веб-шеллы, а не ботов.
Практически это означает три шага:
- проверить сетевую доступность HTTP-интерфейса Node-RED из интернета и из недоверенных сегментов;
- убедиться, что включена аутентификация adminAuth, а не только «спрятанный» порт;
- просмотреть потоки на подозрительные узлы exec и неизвестные HTTP-эндпоинты, а также проверить журналы на запросы, создающие или запускающие потоки.
Если Node-RED установлен на SIMATIC IoT2050 Advanced, обновите Industrial OS до версии 4.3.4.1 или новее. Для остальных развёртываний исправление зависит от того, как именно установлен Node-RED: встроенный экземпляр обновляется вместе с продуктом, отдельный — требует проверки актуальной версии и настройки аутентификации.
Частые вопросы
Кого касается CVE-2026-58115?
Всех, у кого Node-RED доступен по HTTP без аутентификации adminAuth, включая встраивание в промышленные и коммерческие системы. В первую очередь — устройства SIMATIC IoT2050 Advanced под Industrial OS с установленным Node-RED.
Какая версия закрывает уязвимость?
Для SIMATIC IoT2050 Advanced патчи включены в версию 4.3.4.1 и более поздние, по данным Siemens.
Что именно позволяет сделать дыра?
Отсутствие аутентификации на HTTP-интерфейсе даёт доступ к узлам программирования, которые выполняют системные команды. Атакующий может создать вредоносный поток и выполнить произвольный код с максимальными привилегиями.
Как выглядела реальная атака?
30 октября с IP в AS8075 пришёл полный эксплойт: он развернул поток Node-RED, автоматически его запустил и скачал бинарник с сервера атакующих за тремя слоями кодирования. Полезной нагрузкой был Linux-бот.
Что доставляли последующие атаки?
К 1 ноября VulnCheck зафиксировала ещё 15 атак с того же адреса. Помимо прочего они доставляли постоянные веб-шеллы для выполнения произвольных команд на сервере.
Как понять, что мой Node-RED уже скомпрометирован?
VulnCheck советует искать в развёрнутых потоках неожиданные узлы exec и HTTP-эндпоинты. Именно веб-шеллы, оставленные атакующими, стоит искать в первую очередь.
Нужно ли закрывать Node-RED от интернета, если патча пока нет?
Да, это первое, что советует VulnCheck: проверить, доступен ли Node-RED снаружи сети. Атаки идут автоматическим сканированием и одним HTTP-запросом, так что доступность извне — главный фактор риска.
Атакующие действуют вручную?
Нет. По данным VulnCheck, они сканируют экземпляры Node-RED без adminAuth и эксплуатируют их автоматически одним HTTP-запросом.
Источник: securityweek.com