SecAtor

Исследователи VulnCheck отмечают, что критическая уязвимость в Node-RED используется в атаках. Причем с одного и того же IP фиксировалось сразу несколько атак с целью развертывания различных вредоносных ПО, включая бота под управлением Linux и веб-оболочки. Node-RED представляет собой инструмент программирования с низким уровнем кодирования и пошаговым управлением потоками, который поддерживает создание событийно-ориентированных приложений с помощью браузерного редактора. Используется в отраслевых решениях, в том числе коммерческих устройствах ICS/OT. CVE-2026-58115 (CVSS 10/10) связана с отсутствием аутентификации в HTTP-интерфейсе Node-RED, позволяя злоумышленникам получить доступ к программным узлам, способным выполнять системные команды. Siemens сообщила о ней 11 августа, после того как обнаружила уязвимость в своих устройствах SIMATIC IoT2050 Advanced, работающих под управлением Industrial OS с установленным Node-RED. В SIMATIC IoT2050 Advanced версии 4.3.4.1 и более поздних включены исправления. По данным Siemens, CVE-2026-58115 позволяет неавторизованному удаленному злоумышленнику создавать вредоносные потоки данных и выполнять произвольный код на базовом сервере с максимальными привилегиями. В воскресенье VulnCheck предупредила, что 30 октября зафиксировала успешную эксплуатацию уязвимости в реальных условиях. Атака была совершена с IP-адреса в сети AS8075, принадлежащей Microsoft, и привела к созданию полноценной эксплойтной версии. В ходе атаки был развернут поток Node-RED, запущен автоматически и загружен бинарный файл с сервера, контролируемого злоумышленником, и всё это «за тремя уровнями кодирования». В качестве полезной нагрузки использовался бот для Linux. Судя по названию файла, VulnCheck полагает, что злоумышленники создали полезные нагрузки для нескольких архитектур. К 1 ноября VulnCheck зафиксировала еще 15 атак с того же IP, в ходе которых были доставлены дополнительные вредоносные ПО, включая веб-оболочки, позволяющие хакерам выполнять произвольные команды на скомпрометированных серверах. По мнению исследователей, атаки демонстрируют, что злоумышленники активно сканируют сети Node-RED на наличие экземпляров без аутентификации администратора и автоматически используют их с помощью одного HTTP-запроса. VulnCheck рекомендует, в случае использования Node-RED где бы то ни было, в том числе встроенного в среду ICS/OT, проверять, доступен ли он извне сети. Также следует проанализировать развернутые потоки на наличие неожиданных исполняемых узлов или HTTP-конечных точек, поскольку некоторые злоумышленники оставляют веб-оболочки, а не ботов.