脆弱性インテリジェンスを専門とするVulnCheck社は、ローコードプログラミングツールNode-REDの重大な脆弱性を悪用したアクティブな攻撃を検知したと発表しました。この脆弱性はCVE-2026-58115として識別されており、悪用の容易さと甚大な影響から、最高レベルの深刻度（10/10）と評価されています。
脆弱性の性質と影響
この問題は、Node-REDのHTTPインターフェースにおける認証の欠如に起因しており、権限のない攻撃者がプログラミングノードにアクセスし、フル権限でシステムコマンドを実行することを可能にします。このツールは、産業用制御システム（ICS）や運用技術（OT）システムを含む、イベント駆動型のアプリケーションで広く使用されています。
Siemens社は、SIMATIC IoT2050 Advancedデバイスでこの脆弱性が発見されたことを受け、8月11日にこれを公表しました。同社は、この欠陥を修正するためにバージョン4.3.4.1以降向けのセキュリティアップデートをリリースしています。
観測された攻撃の詳細
VulnCheckのデータによると、実際の攻撃は10月30日に開始されました。Microsoftのネットワーク（AS8075）に属するIPアドレスからの攻撃が確認されています。攻撃には以下のような一連の技術的なステップが含まれていました：
- Node-RED内に悪意のあるフロー（Flow）をデプロイする。
- フローを自動実行し、攻撃者が制御するサーバーからバイナリファイルをダウンロードする。
- ペイロードを隠蔽するために多層的な暗号化技術を使用する。
11月1日までに、同じソースからさらに15件の攻撃が観測されました。攻撃者は、侵害されたサーバーへの継続的なアクセスと任意のコマンド実行を確保するために、Linuxボットやウェブシェル（webshells）を含むさまざまなペイロードを実行しました。
ユーザーにとっての意味
これらの攻撃は、攻撃者が認証設定（adminAuth）が欠如しているNode-REDのインスタンスを求めて、インターネットを積極的にスキャンしていることを裏付けています。システムを保護するために、専門家は以下の対策を推奨しています：
- Node-REDのインスタンスが内部ネットワーク外からアクセス可能かどうかを確認し、直ちにそのアクセスを制限すること。
- デプロイされたフロー（flows）を確認し、見慣れない実行ノード（exec nodes）や不審なHTTPエンドポイントがないか調査すること。
- 特に産業環境において、Node-REDを使用しているすべてのデバイスを、メーカーが提供する最新バージョンに更新すること。