Hücumçular Node-RED-in maksimum dərəcəli zəifliyindən istifadə edərək Linux botu yerləşdirir

Naməlum cinayətkarlar sənaye nəzarəti və əməliyyat texnologiyası mühitlərində istifadə olunan axın əsaslı proqramlaşdırma aləti Node-RED-də maksimum dərəcəli zəifliyi istismar edərək Linux botunu endirib işlədən axın yerləşdirirlər. VulnCheck tədqiqatçıları CVE-2026-58115 istismarını keçən cümədən sənədləşdiriblər və Siemens avqustda identifikatoru CVSS üzrə 10-dan 10 bal ilə təyin edib.

Zəiflik necə silahlandırılır

Node-RED Node.js üzərində qurulub və Siemens SIMATIC IoT2050 daxil olmaqla kommersiya məhsullarında istifadə olunur. Təsirlənmiş Siemens cihazları Node-RED HTTP interfeysində autentifikasiyanı məcbur etmir, bu da sistem əmrlərini icra edə bilən proqramlaşdırma düyünlərinə autentifikasiyasız girişə imkan verir. İki daxili düyün zəifliyi istismar etməyi asanlaşdırır: cədvəl üzrə və ya işə salınanda bir dəfə mesaj göndərən inject düyünü və shell əmrlərini işlədə bilən exec düyünü. Birini digərinə bağlamaq axına yerləşdirilən kimi, əlavə qarşılıqlı əlaqə olmadan əmr icra etməyə imkan verir.

Tədqiqatçıların müşahidələri

Fəaliyyət Microsoft-un AS8075 şəbəkəsində yerləşən və Braziliyaya geolokasiya edilən 4.201.105.116 tək IP ünvanından gəldi. O, tam istismarı, axını və dropper-i tək POST /flows sorğusunda göndərdi. 2026-cı il oktyabrın 30-dan noyabrın 1-dək eyni IP Node-RED zəifliyini 16 dəfə hədəf aldı və VulnCheck-in daha geniş canary şəbəkəsində səkkiz fərqli CVE-yə qarşı 125 hadisə qeyd etdi.

Hədəflərə Node-RED ilə yanaşı, Camunda, Gitea, MLflow, Traefik və Joomla-nı təsir edən yeddi illik Apache Solr zəifliyi, CVE-2019-17558 də daxil idi. Bir hadisə 85.215.73.250 ünvanındakı ayrı serverə işarə edən fərqli payload çatdırdı. Yükləmə hostu istismarı göndərən hostdan fərqli olduğundan VulnCheck hostların zəif instansiyaları tapıb istismar etdiyi və implantı ayrıca həsr olunmuş serverdən çəkdiyi ehtimal olunan scan-and-infect sxemini təsvir etdi.

Zərərli proqram və cavab

Tədqiqatçılar binary və ya staged skriptlər əldə etmədilər və bot binary-ni də yükləmədilər, ona görə onun işləyəndə nə etdiyini deyə bilmirlər. Onun fayl adı, bot-linux-amd64, onun AMD64 prosessorlarında işləyən Linux-u hədəf aldığını göstərir və operatorun digər build-lərinin ola biləcəyini ehtimal etdirir. Garrity Node-RED işlədən hər kəsə, o cümlədən OT mühitlərində, onun şəbəkədən kənardan əlçatan olub-olmadığını yoxlamağı, mümkün olan yerlərdə yeniləmələri tətbiq etməyi və aşkarlama mexanizmləri qurmağı tövsiyə etdi. Zəiflik VulnCheck-in Məlum istismar edilən zəifliklər kataloquna əlavə edilib, lakin dərc vaxtı etibarilə CISA-nın KEV kataloqunda görünməyib.

Mənbələr: The Register