VulnCheck beleži napade na nezaštićen Node-RED; Siemens objavio ispravku za IoT2050
VulnCheck je na svojim sistemima za praćenje napada zabeležio zlonamerne Node-RED tokove. CVE-2026-58115 odnosi se na određeni Siemens uređaj, dok sve Node-RED instalacije zahtevaju proveru autentifikacije i mrežne izloženosti.
Šta se desilo?
VulnCheck je 2. novembra 2026. objavio analizu napada na nezaštićen administratorski API platforme Node-RED. Od 30. oktobra do 1. novembra zabeležio je 16 događaja sa jedne izvorne IP adrese na svojim canary sistemima, namenjenim praćenju napada. To nije broj potvrđenih žrtava.
Koga pogađa?
Siemensov CVE-2026-58115 obuhvata SIMATIC IoT2050 Advanced, oznake 6ES7647-0BA00-1YA2, sa Industrial OS sistemom i instaliranim Node-RED-om, u verzijama pre V4.3.4.1. Ovaj obuhvat ne treba automatski proširiti na sve Node-RED proizvode.
Nezavisno od te CVE oznake, zvanična Node-RED dokumentacija upozorava da podrazumevano nezaštićen editor omogućava svakome sa mrežnim pristupom da menja tokove. Zato treba proveriti i druge instalacije.
Kako se zaštititi?
- Na pogođenom Siemens uređaju pređite na V4.3.4.1 ili noviju podržanu verziju.
- Uključite i proverite adminAuth zaštitu editora i administratorskog API-ja.
- Ograničite mrežni pristup i koristite HTTPS za administratorske veze.
- Pregledajte tokove radi neočekivanih exec čvorova i HTTP krajnjih tačaka.
- Uklonite Node-RED ako nije potreban, uz proveru zavisnih procesa.
- Ako postoje znaci upada, izolujte instancu, sačuvajte evidenciju i procenite potrebu za promenom izloženih kredencijala.
Tehnički detalji
Siemens je objavio upozorenje SSA-834709 11. avgusta 2026. i dodelio ocenu 10,0 po CVSS 3.1 i CVSS 4.0. Nedostatak autentifikacije na pogođenom uređaju omogućava izvršavanje koda sa najvišim privilegijama.
VulnCheck je zabeležio zahteve POST /flows kojima se dodaju tokovi za preuzimanje i pokretanje sadržaja, kao i tokove koji služe kao web shell. Istraživači nisu preuzeli binarne datoteke i skripte, pa nisu potvrdili njihove konačne funkcije. Poreklo iz Microsoftovog adresnog prostora ne identifikuje napadača. Nalazi sa canary sistema ne potvrđuju broj kompromitovanih industrijskih uređaja.
Zašto je važno?
Platforma za povezivanje i automatizaciju može imati pristup drugim servisima i njihovim kredencijalima. Neovlašćena promena toka zato može uticati na povezane procese, u granicama privilegija i mrežnog pristupa konkretne instalacije.
Preporuka Sajber Radara
Popišite Node-RED instalacije i proverite zaštitu u njihovoj stvarnoj konfiguraciji. Siemensovo ažuriranje odnosi se na navedeni proizvod; na drugim instalacijama ne zamenjuje podešavanje autentifikacije. Proverite i već postavljene tokove, jer zatvaranje pristupa samo po sebi ne uklanja prethodno dodat zlonameran sadržaj.