Спустя месяцы после того, как Siemens выпустила исправления для уязвимости аутентификации в инструменте потокового программирования Node-RED, она остается неотлаженной многими пользователями, и злоумышленники активно используют ее в реальных атаках.
Проблема затрагивает системы Интернета вещей (IoT) и промышленного Интернета вещей (IIoT) с открытым исходным кодом, включая те, что встроены в критически важную инфраструктуру и развернуты вне контроля руководителей служб информационной безопасности (CISO) и ИТ-директоров (CIO). Фирма безопасности VulnCheck обнаружила эксплойты и раскрыла подробности в записи в блоге в понедельник.
«30 октября 2026 года один из наших «канареек» зафиксировал атакующего, использующего CVE-2026-58115 — уязвимость в API администратора Node-RED без аутентификации — для развертывания потока, который загружает и запускает Linux-бота. Запрос поступил с IP-адреса из ASN Microsoft (AS8075)», — говорится в сообщении. «С тех пор мы зафиксировали 16 событий с того же IP-адреса против этой CVE, охватывающих несколько различных полезных нагрузок».
Основная проблема заключается в том, что Node-RED поставляется с отключенной опцией аутентификации; пользователи должны изменить эту настройку перед вводом в эксплуатацию.
Патрик Гаррити, исследователь безопасности VulnCheck, написавший статью, отметил, что популярность Node-RED среди пользователей, не связанных с ИТ, делает их уязвимыми для таких несложных ошибок.
«Их устанавливают относительно нетехнические специалисты», — сказал Гаррити в интервью.
Аман Махапатра, директор по стратегии нью-йоркской консалтинговой фирмы Tribeca Softech, заявил, что уязвимость Node-RED не нова, но до сих пор активно используется злоумышленниками.
«Условие, которое эксплуатируется, является стандартным для Node-RED по умолчанию на протяжении многих лет: если администратор не настроит аутентификацию, любой, кто может получить доступ к редактору, может развертывать потоки, и собственная документация проекта это подтверждает», — сказал он. «Node-RED популярен именно потому, что инженеры могут настроить его без привлечения ИТ-отдела, что также означает, что он редко попадает в инвентаризацию активов. Это та же схема, что и за атаками на холодильные установки в супермаркетах на этой неделе: оборудование, установленное вне поля зрения службы безопасности, доступное из Интернета, с отключенной аутентификацией».
Махапатра отметил, что наибольшую опасность представляет характер развертывания Node-RED пользователями.
«Это интеграционный промежуточный слой. Типичное развертывание взаимодействует с контроллерами по протоколам Modbus, OPC UA, MQTT или S7 с одной стороны и с базами данных, брокерами и облачными сервисами с другой, и оно хранит учетные данные для всех них», — сказал он. «Скомпрометированный экземпляр становится хранилищем учетных данных для всех систем, к которым он подключен, и мостом через границу IT/OT, которой, согласно сетевой схеме, не существует».
Еще одна проблема заключается в том, что обновления промышленных систем обычно происходят по заранее спланированному графику, а не в ответ на возникающие проблемы или предлагаемые изменения настроек.
«Siemens опубликовала свое уведомление 11 августа, а VulnCheck зафиксировала эксплуатацию 30 октября, через три дня после выпуска собственных средств обнаружения», — сказал Махапатра. «Одиннадцать недель — это короткий срок для OT, где обновления прошивки ждут плановых окон обслуживания, поэтому значительная часть затронутых шлюзов останется неотлаженной до следующего года».
Фрэнк Диксон, ведущий аналитик Dickson Research, добавил, что детали эксплойтов представляют собой для CISO ситуацию «хорошие новости/плохие новости». Хорошая новость заключается в том, что атаки, по-видимому, не были нацелены на промышленные системы. Плохая новость заключается в том, что злоумышленники все равно нашли и получили доступ к этим системам.
Ноа Кенни, ведущий консультант Digital 520, согласился.
«Им не обязательно понимать оборудование или операции, подключенные к этим шлюзам. Они просто ищут системы, способные выполнять их команды», — сказал он. «Это создает тревожную возможность того, что промышленные операции могут быть нарушены злоумышленниками, которые изначально не собирались нацеливаться на критически важную инфраструктуру. Даже обычное вредоносное ПО, потребляющее системные ресурсы или мешающее сетевым коммуникациям, может иметь операционные последствия».
Диксон добавил, что закрытие этой уязвимости может не устранить риск. «В отчете также говорится, что некоторые злоумышленники пропустили бота и оставили веб-оболочки — скрытые бэкдоры для последующего выполнения команд», — сказал Диксон. «Установка патча закрывает дверь. Она не выселяет тех, кто уже внутри».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Evan Schuman
