Saldırganlar, Node-RED'deki en yüksek önem dereceli açığı Linux botu dağıtmak için istismar ediyor

Bilinmeyen suçlular, endüstriyel kontrol ve operasyonel teknoloji ortamlarında kullanılan akış tabanlı programlama aracı Node-RED'deki en yüksek önem dereceli bir güvenlik açığını istismar ederek Linux botu indirip çalıştıran bir flow dağıtmaktadır. VulnCheck araştırmacıları, CVE-2026-58115 istismarını geçen cuma gününden itibaren belgeledi; Siemens ise Ağustos ayında bu tanımlayıcıyı atadı ve 10 üzerinden 10 CVSS puanı verdi.

Açık nasıl silaha dönüştürülüyor

Node-RED, Node.js üzerine kuruludur ve Siemens SIMATIC IoT2050 dahil ticari ürünlerde kullanılır. Etkilenen Siemens cihazları Node-RED HTTP arayüzünde kimlik doğrulamayı zorunlu kılmaz; bu da sistem komutları çalıştırabilen programlama düğümlerine kimlik doğrulamasız erişime izin verir. İki yerleşik düğüm, açığın silahlandırılmasını kolaylaştırır: bir zamanlamaya göre veya başlangıçta bir kez mesaj gönderen inject düğümü ve kabuk komutları çalıştırabilen exec düğümü. Birini diğerine bağlamak, flow dağıtıldığı anda, başka etkileşim olmadan bir komut çalıştırmasını sağlar.

Araştırmacıların gözlemledikleri

Etkinlik, Microsoft'un AS8075 ağında yer alan ve Brezilya'da konumlandırılan 4.201.105.116 tekil IP adresinden geldi. Bu adres, tek bir POST /flows içinde tam istismarı, flow'u ve dropper'ı gönderdi. 30 Ekim ile 1 Kasım 2026 arasında aynı IP, Node-RED açığını 16 kez hedefledi ve VulnCheck'in daha geniş canary ağı genelinde sekiz farklı CVE'ye karşı 125 isabet kaydetti.

Hedefler arasında Camunda, Gitea, MLflow, Traefik ve Joomla'yı etkileyen yedi yıllık Apache Solr açığı CVE-2019-17558 ile Node-RED yer aldı. Bir isabet, 85.215.73.250 adresindeki ayrı bir sunucuya işaret eden farklı bir payload ile geldi. İndirme sunucusu istismarı gönderen sunucudan farklı olduğundan VulnCheck, zafiyetli örnekleri bulan ve istismar eden konakların implantı ayrı bir adanmış sunucudan çektiği olası bir tarama ve enfekte etme düzeninden söz etti.

Kötü amaçlı yazılım ve yanıt

Araştırmacılar bir ikili dosya veya aşamalı betikler alamadı ve bot ikili dosyasını çekemedi; bu nedenle çalışırken ne yaptığını söyleyemiyorlar. Dosya adı bot-linux-amd64, Linux'un AMD64 işlemcilerde çalışan sürümünü hedeflediğini gösterir ve operatörün başka yapılar da olabileceğini düşündürür. Garrity, OT ortamları dahil Node-RED çalıştıran herkesin bunun ağ dışından erişilebilir olup olmadığını kontrol etmesini, güncellemeleri uygulamasını ve tespitleri uygulamasını tavsiye etti. Hata, VulnCheck'in Bilinen İstismar Edilmiş Güvenlik Açıkları kataloğuna eklendi, ancak basın zamanında CISA'nın KEV kataloğunda yer almamıştı.

Kaynaklar: The Register