Компания VulnCheck, специализирующаяся на разведке уязвимостей, сообщила об обнаружении активных атак, использующих критическую уязвимость в инструменте низкокодового программирования Node-RED. Уязвимость под кодом CVE-2026-58115 получила максимальную оценку серьезности (10/10) из-за простоты эксплуатации и ее разрушительного воздействия.
Природа и последствия уязвимости
Проблема заключается в отсутствии аутентификации в HTTP-интерфейсе Node-RED, что дает неавторизованным злоумышленникам возможность получать доступ к узлам программирования и выполнять системные команды с полными привилегиями. Этот инструмент широко используется в событийно-ориентированных приложениях, включая промышленные системы управления (ICS) и операционные технологии (OT).
Компания Siemens раскрыла информацию об этой уязвимости 11 августа после ее обнаружения в устройствах SIMATIC IoT2050 Advanced и выпустила обновления безопасности для версий 4.3.4.1 и выше, чтобы устранить эту брешь.
Детали обнаруженных атак
Согласно данным VulnCheck, фактические атаки начались 30 октября, когда была зафиксирована атака с IP-адреса, принадлежащего сети Microsoft (AS8075). Атаки включали в себя ряд технических этапов:
- Развертывание вредоносного потока (Flow) внутри Node-RED.
- Автоматический запуск потока для загрузки бинарных файлов с сервера, контролируемого злоумышленником.
- Использование многослойных методов шифрования для сокрытия вредоносной нагрузки.
К 1 ноября было зафиксировано еще 15 атак из того же источника, в ходе которых злоумышленники выполняли различные полезные нагрузки, включая Linux-ботов и веб-шеллы (webshells), обеспечивающие им постоянный доступ к скомпрометированным серверам и возможность выполнения произвольных команд.
Что это значит для пользователей?
Эти атаки подтверждают, что злоумышленники проводят активное сканирование Интернета в поисках экземпляров Node-RED, в которых отсутствуют настройки аутентификации (adminAuth). Для защиты систем эксперты рекомендуют следующее:
- Проверить возможность доступа к экземплярам Node-RED извне внутренней сети и немедленно ограничить такой доступ.
- Проверить развернутые потоки (flows) на наличие необычных узлов выполнения (exec nodes) или подозрительных конечных точек HTTP.
- Убедиться, что все устройства, использующие Node-RED, особенно в промышленных средах, обновлены до последних версий, доступных от производителей.