L'entreprise VulnCheck, spécialisée dans l'intelligence sur les vulnérabilités, a révélé avoir détecté des attaques actives exploitant une vulnérabilité critique dans l'outil de programmation low-code Node-RED. La vulnérabilité, identifiée sous le code CVE-2026-58115, a reçu une note de criticité maximale (10/10) en raison de sa facilité d'exploitation et de son impact majeur.
Nature et impact de la vulnérabilité
Le problème réside dans l'absence d'authentification sur l'interface HTTP de Node-RED, ce qui permet à des attaquants non autorisés d'accéder aux nœuds de programmation et d'exécuter des commandes système avec des privilèges complets. Cet outil est largement utilisé dans des applications basées sur les événements, y compris les systèmes de contrôle industriel (ICS) et les technologies opérationnelles (OT).
La société Siemens avait révélé cette vulnérabilité le 11 août dernier après sa découverte sur les appareils SIMATIC IoT2050 Advanced, et a publié des mises à jour de sécurité pour les versions 4.3.4.1 et ultérieures afin de combler cette faille.
Détails des attaques observées
Selon les données de VulnCheck, les attaques réelles ont débuté le 30 octobre, avec l'observation d'une attaque provenant d'une adresse IP appartenant au réseau Microsoft (AS8075). Les attaques comprenaient une série d'étapes techniques :
- Déploiement d'un flux (Flow) malveillant au sein de Node-RED.
- Exécution automatique du flux pour récupérer des fichiers binaires depuis un serveur contrôlé par l'attaquant.
- Utilisation de techniques de chiffrement multicouches pour masquer la charge utile.
Au 1er novembre, 15 attaques supplémentaires ont été détectées provenant de la même source, où les attaquants ont exécuté diverses charges utiles comprenant des bots Linux et des webshells, leur garantissant un accès continu aux serveurs compromis et l'exécution de commandes arbitraires.
Qu'est-ce que cela signifie pour les utilisateurs ?
Ces attaques confirment que les attaquants effectuent un balayage actif d'Internet à la recherche d'instances Node-RED dépourvues de paramètres d'authentification (adminAuth). Pour protéger les systèmes, les experts recommandent ce qui suit :
- Vérifier l'accessibilité des instances Node-RED depuis l'extérieur du réseau interne et restreindre immédiatement cet accès.
- Examiner les flux (flows) déployés à la recherche de nœuds d'exécution (exec nodes) inhabituels ou de points de terminaison HTTP suspects.
- S'assurer que tous les appareils utilisant Node-RED, en particulier dans les environnements industriels, sont mis à jour vers les dernières versions disponibles des fabricants.