취약점 인텔리전스 전문 기업인 VulnCheck는 로우코드 프로그래밍 도구인 Node-RED의 치명적인 보안 취약점을 악용한 활성 공격을 포착했다고 밝혔습니다. CVE-2026-58115로 명명된 이 취약점은 악용의 용이성과 심각한 영향으로 인해 최고 위험 등급(10/10)을 받았습니다.
취약점의 성격 및 영향
문제는 Node-RED의 HTTP 인터페이스에 인증이 결여되어 있다는 점이며, 이로 인해 권한이 없는 공격자가 프로그래밍 노드에 접근하여 전체 권한으로 시스템 명령을 실행할 수 있습니다. 이 도구는 산업 제어 시스템(ICS) 및 운영 기술(OT) 시스템을 포함한 이벤트 기반 애플리케이션에서 널리 사용됩니다.
Siemens는 지난 8월 11일 SIMATIC IoT2050 Advanced 장치에서 이 취약점을 발견한 후 이를 공개했으며, 이 격차를 메우기 위해 버전 4.3.4.1 및 이후 버전에 대한 보안 업데이트를 출시했습니다.
관찰된 공격 세부 정보
VulnCheck 데이터에 따르면, 실제 공격은 10월 30일에 시작되었으며 마이크로소프트 네트워크(AS8075) 소유의 IP 주소로부터의 공격이 관찰되었습니다. 공격에는 다음과 같은 일련의 기술적 단계가 포함되었습니다:
- Node-RED 내에 악성 플로우(Flow) 배포.
- 공격자가 제어하는 서버에서 바이너리 파일을 가져오기 위해 플로우를 자동으로 실행.
- 소프트웨어 페이로드를 숨기기 위해 다층 암호화 기술 사용.
11월 1일까지 동일한 소스에서 15건의 추가 공격이 관찰되었으며, 공격자들은 침해된 서버에 대한 지속적인 접근을 보장하고 임의 명령을 실행하기 위해 Linux 봇 및 웹셸(webshells)을 포함한 다양한 페이로드를 실행했습니다.
사용자에게 의미하는 바는 무엇인가?
이러한 공격은 공격자들이 인증 설정(adminAuth)이 누락된 Node-RED 인스턴스를 찾기 위해 인터넷을 적극적으로 스캔하고 있음을 확인시켜 줍니다. 시스템을 보호하기 위해 전문가들은 다음과 같이 권장합니다:
- Node-RED 인스턴스가 내부 네트워크 외부에서 접근 가능한지 확인하고, 즉시 이러한 접근을 제한하십시오.
- 배포된 플로우(flows)를 검토하여 익숙하지 않은 실행 노드(exec nodes) 또는 의심스러운 HTTP 엔드포인트가 있는지 확인하십시오.
- 특히 산업 환경에서 Node-RED를 사용하는 모든 장치를 제조업체에서 제공하는 최신 버전으로 업데이트하십시오.