Aanvallers misbruiken een kritieke kwetsbaarheid in Node-RED om servers te infecteren met malware, waaronder Linux-bots en webshells.
Cybercriminelen maken gebruik van een kritieke kwetsbaarheid in de programmeertool Node-RED om servers te infecteren met malware. Dit meldt het cybersecuritybedrijf Vulncheck. De kwetsbaarheid, bekend als CVE-2026-58115, werd in augustus door Siemens openbaar gemaakt, samen met updates om het probleem te verhelpen.
Node-RED is een low-code visuele programmeertool die het mogelijk maakt om apparaten en applicaties eenvoudig te koppelen en taken te automatiseren. Het wordt veel toegepast in industriële omgevingen, het Internet of Things (IoT) en domotica. De kwetsbaarheid betreft het ontbreken van authenticatie binnen de HTTP-interface van Node-RED. Hierdoor kan een onbevoegde aanvaller toegang krijgen tot programmeer-nodes die systeemcommando's op de server kunnen uitvoeren. Met een malafide Node-RED flow kan de aanvaller willekeurige code uitvoeren met maximale rechten op de onderliggende server, aldus het beveiligingsbulletin van Siemens.
De kwetsbaarheid is beoordeeld met een CVSS-score van 10.0, wat de hoogste impact aangeeft. Siemens gebruikt Node-RED onder meer in de SIMATIC IoT2050 gateway, die bedoeld is om bestaande fabrieken 'Industrial Internet of Things (IIoT) ready' te maken zonder aanpassingen aan hardware of software. Volgens Vulncheck wordt de kwetsbaarheid actief misbruikt door aanvallers die via malafide flows malware downloaden en uitvoeren op de getroffen servers. Hierbij gaat het onder andere om Linux-bots en webshells die als backdoor fungeren. Het doel van de aanvallers is op dit moment nog onbekend.
