مهاجمون يستغلون ثغرة ذات خطورة قصوى في Node-RED لنشر بوت لينكس

يستغل مجرمون مجهولون ثغرة ذات خطورة قصوى في Node-RED، وهي أداة برمجة مبنية على التدفقات (flows) تُستخدم في بيئات التحكم الصناعي وتكنولوجيا التشغيل (OT)، لنشر تدفق يحمّل ويُشغّل بوت لينكس. ووثّق باحثو VulnCheck استغلال CVE-2026-58115 بدءًا من الجمعة الماضية، وخصصت Siemens المعرّف في أغسطس بدرجة 10 من 10 على مقياس CVSS.

كيف تُستغل الثغرة

بُني Node-RED على Node.js ويُستخدم في منتجات تجارية منها Siemens SIMATIC IoT2050. ولا تفرض أجهزة Siemens المتأثرة مصادقة على واجهة Node-RED HTTP، مما يتيح وصولاً غير مصادق إلى عقد برمجة (nodes) يمكنها تنفيذ أوامر النظام. ويجعل استغلال الثغرة أمراً سهلاً وجود عقدتين مضمّنتين (built-in): عقدة inject التي تطلق رسالة وفق جدول أو مرة واحدة عند البدء، وعقدة exec التي يمكنها تشغيل أوامر shell. وربط إحداهما بالأخرى يتيح للتدفق تنفيذ أمر فور نشره، دون أي تفاعل إضافي.

ما رصده الباحثون

صدر النشاط من عنوان IP واحد، 4.201.105.116، في شبكة Microsoft AS8075 ويحدد موقعه الجغرافي في البرازيل. وأُرسل الاستغلال الكامل، التدفق وdropper، في POST /flows واحدة. بين 30 أكتوبر و1 نوفمبر 2026، استهدف نفس IP ثغرة Node-RED 16 مرة وسجّل 125 إصابة مقابل ثمانية CVEs مختلفة عبر شبكة canary الأوسع لـ VulnCheck.

وشملت الأهداف ثغرة Apache Solr عمرها سبع سنوات، CVE-2019-17558، التي تؤثر في Camunda وGitea وMLflow وTraefik وJoomla، إلى جانب Node-RED. وحملت إصابة واحدة حمولة مختلفة تشير إلى خادم منفصل عند 85.215.73.250. ونظرًا لأن مضيف التحميل يختلف عن المضيف الذي أرسل الاستغلال، وصفت VulnCheck ترتيبًا محتملًا لـ "scan-and-infect"، حيث تجد المضيفات وتستغل النسخ الضعيفة وتسحب implant من خادم مخصص منفصل.

البرنامج الخبيث والاستجابة

لم يسترد الباحثون ملفاً ثنائياً أو نصوصاً برمجية جاهزة، ولم يجلبوا الملف الثنائي للبوت، لذا لا يمكنهم القول بما يفعله بعد تشغيله. ويُشير اسم الملف bot-linux-amd64 إلى أنه يستهدف Linux على معالجات AMD64، ويشير إلى أن المشغل قد يمتلك builds أخرى. ونصح Garrity كل من يشغّل Node-RED، بما في ذلك في بيئات OT، بالتحقق مما إذا كان يمكن الوصول إليه من خارج الشبكة، وتطبيق التحديثات حيثما كانت متاحة، وتنفيذ آليات كشف. وأُضيفت الثغرة إلى كتالوج Known Exploited Vulnerabilities لـ VulnCheck، لكنها لم تظهر في كتالوج KEV لـ CISA حتى وقت النشر.

المصادر: The Register