Node-RED expus în lume: atac activ prin defect de autentificare

Cine atacă și cum?

Echipa VulnCheck a documentat atacuri active. Pe 30 octombrie 2026, un senzor a captat un atacator care exploata CVE-2026-58115.

Această vulnerabilitate permite acces neautentificat la API-ul de administrare al Node-RED. Atacatorul a instalat un flux pentru descărcarea și executarea unui bot Linux. Cererea a pornit de la o adresă IP de la Microsoft.

De atunci, au fost înregistrate 16 evenimente de la acel IP, acoperind mai multe payload-uri.

De ce e vulnerabil?

Node-RED vine cu autentificarea dezactivată implicit.

Utilizatorii trebuie să schimbe această setare înainte de utilizarea în producție.

Patrick Garrity, cercetător de securitate la VulnCheck, a explicat de ce aceste sisteme sunt expuse.

„Sunt instalate de persoane relativ non-tehnice”, a declarat Garrity.

Unde se ascunde?

Lipsa supravegherii tehnice lasă sistemele expuse.

Aman Mahapatra, ofițer de strategie la Tribeca Softech, a subliniat persistența acestui defect. „Condiția de exploatare este una pe care Node-RED o poartă de ani ca setare implicită: dacă un administrator nu configurează autentificarea, oricine cu acces de editor poate instala fluxuri.” Popularitatea Node-RED provine din faptul că inginerii îl configurează fără implicarea echipei IT.

Asta înseamnă că rareori apare în inventarele de active. Se aseamănă cu atacurile recente asupra echipamentelor de răcire din supermarketuri: instalate în afara vederii echipei de securitate, accesibile din internet, cu autentificare oprită.

Ce riscă utilizatorii?

Mahapatra a notat că cel mai mare pericol stă în modul în care utilizatorii implementează Node-RED. Este middleware de integrare.

O implementare tipică vorbește Modbus, OPC UA, MQTT sau S7 cu controlere pe o parte și baze de date, brokeri și servicii cloud pe cealaltă, și stochează credențiale pentru toate. O instanță compromisă devine un seif de credențiale pentru fiecare sistem conectat.

Funcționează ca o punte între granița IT și OT.

Sistemele industriale se actualizează de obicei în ferestre de mentenanță programate.

De ce se parchează lent?

„Siemens a publicat sfatul pe 11 august, iar VulnCheck a captat exploatarea pe 30 octombrie, trei zile după livrarea propriilor detecții”, a spus Mahapatra.

Șapte săptămâni e o fereastră scurtă în OT. Actualizările de firmware așteaptă mentenanța planificată, lăsând multe gateway-uri nepatchate până anul viitor.

Frank Dickson, analist principal la Dickson Research, a notat natura dublă a acestei știri pentru CISO-uri. Vestea bună: atacurile nu au vizat inițial sistemele industriale. Vestea rea: atacatorii le-au găsit și au accesat oricum. Noah Kenney, consultant principal la Digital 520, a fost de acord.

Ce daune colaterale?

Nu neapărat trebuie să înțeleagă echipamentul sau operațiile conectate la aceste gateway-uri.

Pur și simplu vânează sisteme capabile să executeze comenzile lor. Asta creează o posibilitate îngrijorătoare unde operațiile industriale sunt deranjate de atacatori care nu au avut intenția să vizeze infrastructura critică.

Chiar și malware generic care consumă resursele sistemului poate avea consecințe operaționale.

Dickson a adăugat că închiderea defectului poate să nu termine expunerea.

Rezolvă parcharea expunerea?

„Raportul a descoperit deasemeni că unii atacatori au sărit peste bot-ul și au lăsat shell-uri web, uși spionaj ascunse pentru execuție ulterioară a comenzilor”, a spus Dickson.

Actualizarea închide ușa.

Nu scoate afară cineva care e deja înăuntru.