Неизвестные злоумышленники используют уязвимость максимальной степени критичности в Node-RED, инструменте потокового программирования, широко применяемом в критической инфраструктуре, для развертывания потока, который загружает и запускает Linux-бот.
Node-RED часто используется для автоматизации рабочих процессов в промышленных системах управления (ICS) и средах операционных технологий (OT). Он построен на базе Node.js и применяется в коммерческих продуктах, включая Siemens SIMATIC IoT2050. В августе компания Siemens присвоила идентификатор уязвимости CVE-2026-58115, описывающий ошибку с идеальным рейтингом CVSS 10 из 10.
Затронутые устройства Siemens не обеспечивают аутентификацию на HTTP-интерфейсе Node-RED, что позволяет неаутентифицированный доступ к узлам программирования, способным выполнять системные команды на устройстве. Это означает, что удаленные злоумышленники без аутентификации могут создавать вредоносные потоки, что исследователи VulnCheck начали документировать в прошлую пятницу.
«30 октября 2026 года один из наших канареек зафиксировал атакующего, эксплуатирующего CVE-2026-58115», — предупредил исследователь VulnCheck Патрик Гаррити в понедельничном уведомлении, добавив, что два встроенных узла Node-RED делают эту уязвимость «тривиальной для использования в качестве оружия».
Один из них — узел inject, который отправляет сообщение по расписанию или один раз при запуске. Второй, узел exec, может выполнять команды оболочки. «Соедините их вместе, и поток выполнит команду сразу после развертывания, без дальнейшего взаимодействия», — сказал Гаррити.
Кроме того, эти эксплойты появляются в то время, когда преступники все чаще нацеливаются на доступные в Интернете OT и устройства ICS, позволяя своим кибератакам влиять на физический мир и причинять реальный вред. Примером могут служить продолжающиеся взломы контроллеров холодильного оборудования по всей Европе и атаки на системы водоснабжения в по меньшей мере 12 штатах США в течение лета.
Активность, зафиксированная VulnCheck, исходила от одного IP-адреса — 4.201.105[.]116, который находится в сети Microsoft AS8075 и геолоцируется в Бразилии. «Он не просто сканировал нас. Он отправил полный эксплойт, поток и дроппер в одном POST /flows», — написал Гаррити.
Хотя исследователи еще многого не знают об атаках — они не получили бинарный файл или подготовленные скрипты для анализа — имя файла bot-linux-amd64 указывает на то, что вредоносное ПО нацелено на Linux, работающий на процессорах AMD64. Это также предполагает, что оператор вредоносного ПО может иметь другие сборки. «Мы не получили бинарный файл, поэтому не можем сказать, что он делает после запуска», — отметил Гаррити.
С 30 октября по 1 ноября исследователи зафиксировали, как этот IP-адрес 16 раз атаковал ту же уязвимость Node-RED и зарегистрировал 125 срабатываний по восьми различным CVE в их более широкой сети канареек. Среди целей атаки была семилетняя уязвимость Apache Solr, отслеживаемая как CVE-2019-17558, затрагивающая Camunda, Gitea, MLflow, Traefik и Joomla, наряду с Node-RED. Все это предполагает «оппортунистическое массовое сканирование, а не целенаправленную атаку», по словам исследователя.
Одно из этих срабатываний привело к загрузке другого полезного груза, указывающего на отдельный сервер (85.215.73[.]250), который VulnCheck теперь отслеживает, но не имеет никакой телеметрии, кроме URL-адреса. «Поскольку хост загрузки — это другая машина, отличная от той, которая отправила эксплойт, вероятная схема — это сканирование и заражение: хосты, которые находят и эксплуатируют уязвимые экземпляры, загружают имплант с отдельного выделенного сервера», — написал Гаррити.
Сочетание старых и новых ошибок в несвязанных продуктах указывает на «оппортунистическое массовое сканирование, а не на целенаправленную атаку», написал Гаррити.
«Если вы используете Node-RED где-либо, в том числе в средах OT, проверьте сегодня, доступен ли он извне вашей сети, примените доступные обновления и внедрите средства обнаружения, чтобы снизить риск эксплуатации», — добавил он в посте на LinkedIn.
Хотя ошибка была добавлена в каталог известных эксплуатируемых уязвимостей (KEV) VulnCheck, она (на момент публикации) не появилась в KEV Агентства по кибербезопасности и защите инфраструктуры США.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Jessica Lyons
