漏洞情报专家 VulnCheck 公司披露，已监测到利用低代码编程工具 Node-RED 中的一个关键安全漏洞进行的活跃攻击。该漏洞编号为 CVE-2026-58115，由于其易于利用且影响巨大，获得了满分（10/10）的严重性评分。
漏洞性质及其影响
问题在于 Node-RED 的 HTTP 接口缺乏身份验证，这使得未经授权的攻击者能够访问编程节点并以完全权限执行系统命令。该工具广泛应用于基于事件的应用中，包括工业控制系统 (ICS) 和运营技术 (OT) 系统。
Siemens 公司在发现 SIMATIC IoT2050 Advanced 设备存在该漏洞后，于 8 月 11 日披露了此漏洞，并发布了针对 4.3.4.1 及更高版本的安全更新以修复该漏洞。
监测到的攻击详情
根据 VulnCheck 的数据，实际攻击始于 10 月 30 日，监测到来自微软网络 (AS8075) IP 地址的攻击。攻击包含一系列技术步骤：
- 在 Node-RED 内部部署恶意流 (Flow)。
- 自动运行该流以从攻击者控制的服务器获取二进制文件。
- 使用多层加密技术来隐藏软件载荷。
截至 11 月 1 日，从同一来源监测到另外 15 次攻击，攻击者执行了各种载荷，包括 Linux 机器人程序 (Linux bot) 和网络后门 (webshells)，以确保能够持续访问受感染的服务器并执行任意命令。
这对用户意味着什么？
这些攻击表明，攻击者正在对互联网进行主动扫描，寻找缺乏身份验证设置 (adminAuth) 的 Node-RED 实例。为了保护系统，专家建议如下：
- 检查是否可以从内网之外访问 Node-RED 实例，并立即限制此类访问。
- 审查已部署的流 (flows)，寻找任何异常的执行节点 (exec nodes) 或可疑的 HTTP 端点。
- 确保所有依赖 Node-RED 的设备（特别是在工业环境中）都已更新到制造商提供的最新版本。