Dans sa mise à jour du 1er novembre, VulnCheck a décrit des requêtes qui installaient des flux de type webshell dans Node-RED : des points d’entrée HTTP-in reliés à un nœud exec, que l’organisation estime capables de persister après un redémarrage. Le premier événement d’exploitation rapporté par VulnCheck remonte au 30 octobre 2026, lorsque son canari a enregistré le déploiement d’un flux lié à CVE-2026-58115.
Ce que VulnCheck a observé
Node-RED permet de relier des nœuds pour former des flux automatisés. Dans le cas décrit par VulnCheck, un nœud inject déclenche un nœud exec, qui lance une commande système dès le déploiement du flux. L’attaque exploite l’absence d’authentification sur l’interface HTTP de Node-RED.
Le canari de VulnCheck a répondu HTTP 200 et produit un nouveau hash de révision du flux après la requête de déploiement. Entre le 30 octobre et le 1er novembre, VulnCheck a compté 16 événements visant CVE-2026-58115 depuis une même adresse IP. Dans l’ensemble plus large de son réseau de canaris, cette adresse a généré 125 requêtes visant huit CVE. VulnCheck a qualifié l’activité de balayage opportuniste à grande échelle.
La première charge utile décrite tentait de télécharger un binaire nommé bot-linux-amd64 dans /dev/shm, un système de fichiers en mémoire, puis de le lancer en arrière-plan. Le nom suggère une cible Linux AMD64. VulnCheck n’a pas récupéré le binaire, dont les fonctions restent inconnues.
Quel matériel Siemens l’avis concerne-t-il ?
L’avis de la CISA, qui reprend la notification de Siemens ProductCERT, désigne une configuration précise : SIMATIC IoT2050 Advanced, référence 6ES7647-0BA00-1YA2, avec Industrial OS et Node-RED installé, en version antérieure à V4.3.4.1. CVE-2026-58115 reçoit une note de 10,0, critique, selon CVSS v3.1. (Avis de la CISA)
Pour ces appareils, l’avis indique trois mesures : renforcer la sécurité de l’installation Node-RED, désinstaller Node-RED ou mettre l’appareil à jour vers V4.3.4.1 ou une version ultérieure. La CISA recommande aussi d’empêcher l’accès à Internet aux appareils de contrôle et de segmenter les réseaux de contrôle.
