استغلال ثغرة حرجة في Node-RED لتنفيذ هجمات سيبرانية

كشفت شركة VulnCheck المتخصصة في استخبارات الثغرات الأمنية عن رصد هجمات نشطة تستغل ثغرة أمنية حرجة في أداة البرمجة منخفضة الكود Node-RED. الثغرة، التي تحمل الرمز CVE-2026-58115، حصلت على تقييم خطورة كامل (10/10) نظراً لسهولة استغلالها وتأثيرها الجسيم.

طبيعة الثغرة وتأثيرها

تكمن المشكلة في غياب المصادقة على واجهة HTTP الخاصة بـ Node-RED، مما يمنح المهاجمين غير المصرح لهم القدرة على الوصول إلى عقد البرمجة وتنفيذ أوامر النظام بصلاحيات كاملة. وتُستخدم هذه الأداة على نطاق واسع في تطبيقات تعتمد على الأحداث، بما في ذلك أجهزة التحكم الصناعي (ICS) وأنظمة التشغيل التقني (OT).

كانت شركة Siemens قد كشفت عن هذه الثغرة في 11 أغسطس الماضي بعد اكتشافها في أجهزة SIMATIC IoT2050 Advanced، وأصدرت تحديثات أمنية للإصدارات 4.3.4.1 وما بعدها لسد هذه الفجوة.

تفاصيل الهجمات المرصودة

وفقاً لبيانات VulnCheck، بدأت الهجمات الفعلية في 30 أكتوبر، حيث تم رصد هجوم من عنوان IP تابع لشبكة مايكروسوفت (AS8075). تضمنت الهجمات سلسلة من الخطوات التقنية:

• نشر تدفق (Flow) خبيث داخل Node-RED.
• تشغيل التدفق تلقائياً لجلب ملفات ثنائية من خادم يتحكم فيه المهاجم.
• استخدام تقنيات تشفير متعددة الطبقات لإخفاء الحمولة البرمجية.

بحلول الأول من نوفمبر، تم رصد 15 هجوماً إضافياً من نفس المصدر، حيث قام المهاجمون بتنفيذ حمولات متنوعة شملت برمجيات بوت (Linux bot) وأبواباً خلفية (webshells) تضمن لهم استمرار الوصول إلى الخوادم المخترقة وتنفيذ أوامر تعسفية.

ما الذي يعنيه ذلك للمستخدمين؟

تؤكد هذه الهجمات أن المهاجمين يقومون بمسح نشط للإنترنت بحثاً عن مثيلات Node-RED التي تفتقر إلى إعدادات المصادقة (adminAuth). ولحماية الأنظمة، يوصي الخبراء بالآتي:

• التحقق من إمكانية الوصول إلى مثيلات Node-RED من خارج الشبكة الداخلية، وتقييد هذا الوصول فوراً.
• مراجعة التدفقات (flows) المنشورة بحثاً عن أي عقد تنفيذ (exec nodes) غير مألوفة أو نقاط نهاية HTTP مشبوهة.
• التأكد من تحديث كافة الأجهزة التي تعتمد على Node-RED، خاصة في البيئات الصناعية، إلى أحدث الإصدارات المتاحة من الشركات المصنعة.