Для заражения промышленного Linux-устройства злоумышленникам оказалось достаточно одного HTTP-запроса. Компания VulnCheck зафиксировала реальные попытки эксплуатации критической уязвимости в Node-RED, инструменте для автоматизации процессов, который используют в том числе промышленные предприятия. Атакующие отправляют вредоносные сценарии, способные загружать и запускать посторонний код без авторизации.
Первую атаку обнаружили 30 октября 2026 года с помощью специального сервера-ловушки. Уязвимость CVE-2026-58115 получила максимальную оценку 10 баллов по CVSS 3.1 и CVSS 4.0. Проблема связана с отсутствием обязательной аутентификации в HTTP-интерфейсе Node-RED. Через административный API посторонний пользователь может создавать сценарии и выполнять системные команды с максимальными привилегиями.
Механизм атаки оказался предельно простым. Злоумышленник отправляет POST-запрос на адрес /flows и создаёт цепочку из двух стандартных компонентов Node-RED. Узел inject автоматически запускает сценарий спустя секунду после установки, а exec выполняет команду оболочки Linux. Дополнительные действия администратора не требуются. Сервер-ловушка VulnCheck принял запрос и вернул HTTP 200, подтвердив работоспособность цепочки в тестовой среде.
Вредоносная команда была спрятана за несколькими слоями кодирования, включая Base64. После расшифровки выяснилось, что сценарий загружает исполняемый файл bot-linux-amd64 через wget или curl. Программа сохраняется в /dev/shm/.b, разделе оперативной памяти Linux, и запускается в отдельном процессе. Такой способ помогает избежать записи на постоянный диск. Сам исполняемый файл специалисты не получили, поэтому назначение вредоноса пока неизвестно.
С 30 октября по 1 ноября VulnCheck зарегистрировала 16 попыток эксплуатации с одного IP-адреса из облачной инфраструктуры Microsoft. Всего тот же адрес фигурировал в 125 обращениях к ловушкам, связанным с восемью различными уязвимостями. Активность напоминает массовый автоматизированный поиск доступных серверов. Среди дополнительных вариантов нагрузки обнаружились веб-оболочки, позволяющие отправлять системные команды через HTTP даже после завершения первоначальной атаки.
Угроза касается не только обычных Linux-серверов. Node-RED входит в состав промышленных решений, включая Siemens SIMATIC IoT2050 Advanced. Ранее аналогичную проблему с доступом к Node-RED обнаружили в платформе FUXA для промышленной автоматизации. Однако подтверждений взлома реальных производственных объектов в новом отчёте нет. Зафиксированные запросы поступали на серверы-ловушки, а последствия возможного заражения действующего оборудования пока не установлены.
Siemens выпустила исправление ещё 11 августа 2026 года. Уязвимы устройства SIMATIC IoT2050 Advanced с Industrial OS и установленным Node-RED в версиях ниже V4.3.4.1. Производитель рекомендует обновить систему, удалить ненужный Node-RED или усилить защиту доступа. VulnCheck также советует закрыть административный интерфейс от интернета и проверить сценарии на неизвестные узлы exec и HTTP-обработчики. Уязвимость уже внесена в каталог эксплуатируемых проблем VulnCheck KEV, но на момент публикации отсутствовала в аналогичном списке CISA.
