Нападники експлуатують критичну вразливість Node-RED для розгортання Linux-бота

Невідомі зловмисники експлуатують вразливість максимальної серйозності в Node-RED, інструменті потокового програмування, що використовується в системах промислового керування та операційних технологіях, щоб розгорнути потік, який завантажує та запускає Linux-бот. Дослідники VulnCheck задокументували експлуатацію CVE-2026-58115, що почалася минулої п’ятниці, а Siemens присвоїла ідентифікатор у серпні з ідеальною оцінкою 10 з 10 за шкалою CVSS.

Як вразливість перетворюють на зброю

Node-RED побудовано на Node.js і використовується в комерційних продуктах, зокрема Siemens SIMATIC IoT2050. Уражені пристрої Siemens не вимагають автентифікації для HTTP-інтерфейсу Node-RED, що дозволяє неавтентифікований доступ до програмних вузлів, які можуть виконувати системні команди. Два вбудовані вузли роблять вразливість тривіальною для використання: вузол inject, що надсилає повідомлення за розкладом або один раз під час запуску, і вузол exec, що може запускати команди оболонки. З’єднання одного з іншим дозволяє потоку виконати команду одразу після розгортання, без подальшої взаємодії.

Що спостерігали дослідники

Активність походила з єдиної IP-адреси, 4.201.105.116, у мережі Microsoft AS8075 і геолокувалася в Бразилії. Вона надіслала повний експлойт, потік і дроппер одним запитом POST /flows. Від 30 жовтня до 1 листопада 2026 року та сама IP-адреса 16 разів націлювалася на вразливість Node-RED і зафіксувала 125 звернень до восьми різних CVE у ширшій канарковій мережі VulnCheck.

Цілями були семирічна вразливість Apache Solr, CVE-2019-17558, що зачіпає Camunda, Gitea, MLflow, Traefik і Joomla, поряд із Node-RED. Одне звернення доставило інше корисне навантаження, що вказувало на окремий сервер за адресою 85.215.73.250. Оскільки хост завантаження відрізняється від хоста, що надіслав експлойт, VulnCheck описала ймовірну схему «сканування і зараження», за якою хости знаходять і експлуатують вразливі екземпляри, а імплант витягують із окремого спеціалізованого сервера.

Шкідливе ПЗ та реагування

Дослідники не отримали бінарний файл або проміжні скрипти та не завантажили бот-бінарний файл, тому не можуть сказати, що він робить після запуску. Його назва файлу, bot-linux-amd64, вказує, що він націлений на Linux, який працює на процесорах AMD64, і свідчить, що оператор може мати інші збірки. Garrity порадив усім, хто запускає Node-RED, зокрема в OT-середовищах, перевірити, чи доступний він ззовні мережі, застосувати оновлення там, де вони доступні, і впровадити виявлення. Помилку додано до каталогу відомих експлуатованих вразливостей VulnCheck, але на момент публікації вона ще не з’явилася в каталозі KEV CISA.

Джерела: The Register