Хакери започнаха активно да експлоатират критична уязвимост в инструмента за визуално програмиране Node-RED, инсталирайки злонамерен софтуер и постоянни уебшелове (webshells) само с една HTTP заявка. Проблемът засяга както сървърни среди, така и индустриални устройства (ICS/OT), което налага незабавна проверка на достъпа до тези системи.
Какво се случи: атаки в реално време срещу CVE-2026-58115
По данни на компанията за разузнаване на уязвимости VulnCheck, нападатели са започнали реална експлоатация на уязвимост в Node-RED, обозначена като CVE-2026-58115. Проблемът е класифициран с максималната оценка 10/10 по скалата CVSS (Common Vulnerability Scoring System) поради критичния характер на дефекта.
Същността на уязвимостта е липса на автентикация в уеб интерфейса на Node-RED. Тази слабост дава възможност на отдалечени нападатели без удостоверяване да получат достъп до програмни възли (nodes), които могат да изпълняват системни команди. Уязвимостта беше официално оповестена от Siemens на 11 август, след като беше идентифицирана в устройства SIMATIC IoT2050 Advanced, работещи с операционна система Industrial OS и инсталиран Node-RED. Според Siemens, дефектът позволява на отдалечен нападател да създава злонамерени работни потоци (flows) и да изпълнява произволен код на основния сървър с максимални системни привилегии.
На 30 октомври VulnCheck е засякла първата успешна атака в реални условия. Нападението е осъществено от IP адрес в автономната система AS8075 (мрежата на Microsoft). Нападателите са заредили зловреден работен поток в Node-RED, задействали са го автоматично и са свалили бинарен файл от контролиран от тях сървър, прикрит зад три слоя на кодиране. Първоначалният полезен товар е представлявал бот за Linux, като анализът на името на файла показва, че авторите са подготвили версии за различни системни архитектури.
До 1 ноември VulnCheck е отчела още 15 атаки от същия IP адрес. При тях са били доставяни допълнителни полезни товари, включително постоянни уебшелове, осигуряващи на нападателите дългосрочен дистанционен контрол и възможност за изпълнение на произволни команди върху компрометираните машини.
Нападателите активно сканират интернет за инсталации на Node-RED без конфигуриран механизъм за автентикация (adminAuth) и ги компрометират автоматизирано чрез единична HTTP заявка.
Кого засяга проблемът
Node-RED е широко разпространен инструмент с отворен код за визуално програмиране, базирано на потоци от събития, с браузърен редактор. Използва се както за разработка на приложения за автоматизация в корпоративни ИТ среди, така и в промишлени среди за управление на процеси и оперативни технологии (ICS/OT).
Уязвимостта засяга организации, които използват Node-RED на сървъри или вградени контролери, оставени достъпни през мрежата без защита. В частност, засегнати са устройствата Siemens SIMATIC IoT2050 Advanced с версии на софтуера преди 4.3.4.1. Производителят вече е публикувал корекции, като защитата е включена във версия 4.3.4.1 и следващите издания.
Какво да направите сега: практически стъпки за защита
За да предотвратите компрометиране на вашата инфраструктура или оперативно оборудване, експертите съветват да предприемете следните конкретни мерки:
Проверете незабавно дали вашите Node-RED инсталации (включително тези в OT и ICS сегменти) са достъпни от публичния интернет. Портовете на интерфейса не трябва да бъдат изложени публично.
Уверете се, че конфигурационният файл на Node-RED съдържа правилно конфигуриран параметър adminAuth с криптирани пароли за достъп до уеб интерфейса за програмиране.
Ако използвате индустриални устройства Siemens SIMATIC IoT2050 Advanced, инсталирайте версия 4.3.4.1 или по-нова, която съдържа необходимите корекции за сигурност.
Прегледайте внедрените работни потоци за необичайни възли от тип exec или непознати HTTP точки за достъп, тъй като нападателите често внедряват уебшелове вместо стандартни ботове.
Кратък извод
Случаят с CVE-2026-58115 подчертава нарастващия интерес на киберпрестъпниците към автоматизирано компрометиране на междинен софтуер и индустриални контролери. Дори един пропуснат параметър за вход може да превърне служебен инструмент във входна врата за проникване в корпоративната мрежа. Екипът на Defend.bg може да помогне на вашата организация с одит на външния периметър, сегментиране на мрежата и изолация на уязвими индустриални устройства.
