Node-RED-ის ხარვეზს Linux-მავნე პროგრამის გასავრცელებლად იყენებენ

უცნობი კიბერდამნაშავეები Node-RED-ში არსებულ უმაღლესი სიმძიმის ხარვეზს იყენებენ. ეს ნაკადებზე დაფუძნებული პროგრამირების ხელსაწყო კრიტიკულ ინფრასტრუქტურაში ფართოდ გამოიყენება. თავდამსხმელები ქმნიან ნაკადს, რომელიც Linux-ის ბოტს ჩამოტვირთავს და გაუშვებს.

Node-RED-ს ხშირად იყენებენ სამრეწველო მართვის სისტემებში (ICS) და ოპერაციული ტექნოლოგიების (OT) გარემოში სამუშაო პროცესების ავტომატიზაციისთვის. ის Node.js-ზეა აგებული და კომერციულ პროდუქტებშიც გამოიყენება, მათ შორის Siemens-ის SIMATIC IoT2050-ში. აგვისტოში Siemens-მა ხარვეზს CVE-2026-58115 იდენტიფიკატორი მიანიჭა და განმარტა, რატომ მიიღო მან CVSS-ის მაქსიმალური, 10-დან 10 ქულა.

დაუცველი Siemens-ის მოწყობილობები Node-RED-ის HTTP ინტერფეისზე ავთენტიფიკაციას არ მოითხოვენ. ამის გამო, ავტორიზაციის გარეშე შესაძლებელია პროგრამირების კვანძებზე წვდომა, რომლებსაც მოწყობილობაზე სისტემური ბრძანებების შესრულება შეუძლიათ. შესაბამისად, დისტანციურ თავდამსხმელებს ავთენტიფიკაციის გარეშე შეუძლიათ მავნე ნაკადების შექმნა. VulnCheck-ის მკვლევრებმა ასეთი შემთხვევების დოკუმენტირება გასულ პარასკევს დაიწყეს.

VulnCheck-ის მკვლევარმა პატრიკ გარიტიმ ორშაბათის გაფრთხილებაში აღნიშნა, რომ 2026 წლის 30 ოქტომბერს მათმა ერთ-ერთმა საკონტროლო სისტემამ CVE-2026-58115-ის გამოყენების მცდელობა დააფიქსირა. გარიტის თქმით, Node-RED-ის ორი ჩაშენებული კვანძი ამ ხარვეზის გამოყენებას „უმარტივესს“ ხდის.

ერთი მათგანი inject კვანძია, რომელიც შეტყობინებას გრაფიკის მიხედვით ან გაშვებისთანავე აგზავნის. მეორე, exec კვანძი, გარსის ბრძანებების შესრულებას იძლევა. გარიტიმ თქვა: „ერთმანეთს თუ დაუკავშირებთ, ნაკადი ბრძანებას განთავსებისთანავე, შემდგომი მოქმედების გარეშე შეასრულებს“.

ამ ექსპლოიტების გამოჩენა იმ პერიოდს ემთხვევა, როცა კიბერდამნაშავეები სულ უფრო ხშირად უმიზნებენ ინტერნეტიდან ხელმისაწვდომ OT და ICS მოწყობილობებს. ამგვარმა კიბერშეტევებმა შეიძლება ფიზიკურ სამყაროში ზიანი გამოიწვიოს. მაგალითად, ევროპაში კვლავ იპარავენ სამაცივრო სისტემების კონტროლერებზე წვდომას, ხოლო ზაფხულში წყლის სისტემებს სულ მცირე აშშ-ის 12 შტატში დაესხნენ თავს.

VulnCheck-ის მიერ დაფიქსირებული აქტივობა ერთი IP მისამართიდან, 4.201.105[.]116-დან მოდიოდა. ეს მისამართი Microsoft-ის AS8075 ქსელს ეკუთვნის და გეოლოკაციის მონაცემებით ბრაზილიაშია. გარიტიმ დაწერა: „მან მხოლოდ ჩვენი სისტემები კი არ დაასკანერა, არამედ ერთი POST /flows მოთხოვნით სრული ექსპლოიტი, ნაკადი და ჩამტვირთველი გამოგზავნა“.

მკვლევრებმა თავდასხმების შესახებ ბევრი რამ ჯერ არ იციან. მათ ანალიზისთვის ვერც ორობითი ფაილი და ვერც ეტაპობრივად ჩამოტვირთული სკრიპტები მოიპოვეს. ფაილის სახელი, bot-linux-amd64, მიუთითებს, რომ მავნე პროგრამა AMD64 პროცესორებზე მომუშავე Linux სისტემებს უმიზნებს. ეს ასევე მიანიშნებს, რომ ოპერატორს შესაძლოა მავნე პროგრამის სხვა ვერსიებიც ჰქონდეს. გარიტიმ აღნიშნა, რომ ორობითი ფაილი არ ჩამოუტვირთავთ და ამიტომ ვერ იტყვიან, რას აკეთებს ის გაშვების შემდეგ.