תוקפים מנצלים פגיעות Node-RED בחומרה מקסימלית כדי לפרוס בוט Linux

פושעים לא ידועים מנצלים פגיעות בדרגת חומרה מקסימלית ב-Node-RED, כלי תכנות מבוסס זרימה המשמש בסביבות בקרה תעשייתית וטכנולוגיה תפעולית, כדי לפרוס זרימה שמורידה ומריצה בוט Linux. חוקרי VulnCheck תיעדו ניצול של CVE-2026-58115 החל מיום שישי שעבר, ו-Siemens הקצתה את המזהה באוגוסט עם ציון CVSS מושלם של 10 מתוך 10.

כיצד הופכים את הפגם לנשק

Node-RED בנוי על Node.js ומשמש במוצרים מסחריים כולל Siemens SIMATIC IoT2050. התקני Siemens המושפעים אינם אוכפים אימות בממשק ה-HTTP של Node-RED, ומאפשרים גישה ללא אימות לצמתי תכנות שיכולים להריץ פקודות מערכת. שני צמתים מובנים הופכים את הפגיעות לקלה לניצול כנשק: צומת inject שמשגר הודעה לפי לוח זמנים או פעם אחת בעת האתחול, וצומת exec שיכול להריץ פקודות shell. חיבור האחד לשני מאפשר לזרימה להריץ פקודה מיד עם פריסתה, ללא אינטראקציה נוספת.

מה ראו החוקרים

הפעילות הגיעה מכתובת IP אחת, 4.201.105.116, ברשת AS8075 של Microsoft, אשר על פי מיקומה הגאוגרפי נמצאת בברזיל. היא שלחה את מלוא ה-exploit, הזרימה וה-dropper בבקשת POST /flows אחת. בין 30 באוקטובר ל-1 בנובמבר 2026 תקפה אותה כתובת את הפגיעות ב-Node-RED 16 פעמים ורשמה 125 אירועים מול שמונה פגיעויות CVE שונות ברחבי רשת ה-canary המורחבת של VulnCheck.

היעדים כללו פגיעות בת שבע שנים ב-Apache Solr, CVE-2019-17558, המשפיעה על Camunda, Gitea, MLflow, Traefik ו-Joomla, ולצדה Node-RED. אירוע אחד מסר מטען אחר שהצביע על שרת נפרד בכתובת 85.215.73.250. מכיוון ששרת ההורדה שונה מהשרת ששלח את ה-exploit, VulnCheck תיארה הסדר אפשרי של סריקה והדבקה, שבו שרתים מאתרים ומנצלים מופעים פגיעים ומושכים את ה-implant משרת ייעודי נפרד.

הנוזקה והתגובה

החוקרים לא אחזרו קובץ בינארי או סקריפטים מבוימים, ולא משכו את הקובץ הבינארי של הבוט, ולכן אינם יכולים לומר מה הוא עושה לאחר הרצתו. שם הקובץ שלו, bot-linux-amd64, מציין שהוא מכוון ל-Linux הפועל על מעבדי AMD64 ומרמז שלמפעיל עשויים להיות גרסאות נוספות. גאריטי יעץ לכל מי שמריץ Node-RED, לרבות בסביבות OT, לבדוק אם הוא נגיש מחוץ לרשת, להחיל עדכונים היכן שהם זמינים וליישם זיהויים. הבאג נוסף לקטלוג הפגיעויות המנוצלות הידועות של VulnCheck, אך לא הופיע בקטלוג KEV של CISA במועד הפרסום.

מקורות: The Register