Node-RED最高危漏洞遭利用，攻击者可植入恶意流程

你家的工业物联网网关没有暴露在互联网上，对吧？真的没有吧？！

未知身份的犯罪分子正在利用Node-RED中一个最高严重级别的漏洞，部署可下载并运行Linux僵尸程序的flow。Node-RED是一款基于流的编程工具，广泛应用于关键基础设施领域。

Node-RED常用于工业控制系统（ICS）和运营技术（OT）环境中的工作流自动化。它构建在Node.js之上，被用于包括Siemens SIMATIC IoT2050在内的商业产品中。今年8月，Siemens为该漏洞分配了编号CVE-2026-58115，并解释了其CVSS评分为何达到满分10分。

受影响的Siemens设备未对Node-RED的HTTP接口实施身份认证，导致攻击者无需认证即可访问能够在设备上执行系统命令的编程节点。这意味着未经认证的远程攻击者可以创建恶意flow，而VulnCheck的研究人员上周五开始记录此类活动。

“2026年10月30日，我们的一个蜜罐捕获到攻击者正在利用CVE-2026-58115，”VulnCheck研究员Patrick Garrity在周一的公告中警告说，并补充称Node-RED的两个内置节点使该漏洞“极易被武器化”。

其一是inject节点，可按计划或在启动时触发一次消息。其二是exec节点，可执行shell命令。“将两者连接起来，flow一经部署就会立即执行命令，无需任何进一步交互，”Garrity说。

此外，这些漏洞利用活动正值犯罪分子越来越多地将目标对准暴露在互联网上的OT和ICS设备，使其网络攻击能够影响物理世界并造成现实危害。典型案例包括：欧洲各地持续发生的制冷控制器遭黑客攻击事件，以及今年夏天美国至少12个州的水务系统遭受的攻击。

VulnCheck观察到的活动来自单一IP地址4.201.105[.]116，该地址位于Microsoft的AS8075网络内，地理位置显示为巴西。“它不只是扫描了我们。它在单个POST /flows请求中发送了完整的漏洞利用、flow和dropper，”Garrity写道。

尽管研究人员对这些攻击还有许多未知之处——他们没有获取到二进制文件或分阶段脚本进行分析——但文件名bot-linux-amd64表明该恶意软件针对的是运行在AMD64处理器上的Linux。这也暗示恶意软件运营者可能还有其他构建版本。“我们没有下载该二进制文件，因此无法说明它运行后会做什么，”Garrity指出。

10月30日至11月1日期间，研究人员发现该IP地址16次针对同一个Node-RED漏洞，并在其更广泛的蜜罐网络中记录到针对8个不同CVE的125次命中。攻击目标中包括一个已有七年历史的Apache Solr漏洞CVE-2019-17558——除Node-RED外，还影响Camunda、Gitea、MLflow、Traefik和Joomla。据该研究员称，这一切表明这是“机会主义的批量扫描，而非针对性攻击”。

其中一次命中投递了指向另一台服务器（85.215.73[.]250）的不同payload，VulnCheck目前正在追踪该服务器——但除了URL之外没有任何遥测数据。“由于下载主机与发送漏洞利用的主机不是同一台机器，可能的设置是一种扫描并感染的安排：发现并利用存在漏洞实例的主机从一台独立的专用服务器上拉取植入程序，”Garrity写道。

Garrity写道，不相关产品中新旧漏洞混杂出现，表明这是“机会主义的批量扫描，而非针对性攻击”。

“如果你在任何地方运行Node-RED，包括在OT环境内部，今天就检查它是否可从网络外部访问，在可用的情况下应用更新，并实施检测以减少被利用的风险，”他在LinkedIn的帖子中补充道。

尽管该漏洞已被加入VulnCheck的已知被利用漏洞（KEV）目录，但截至发稿时，它尚未出现在美国网络安全和基础设施安全局（CISA）的KEV列表中。®