Co się wydarzyło
VulnCheck opublikował obserwacje wykorzystania: od 30 października 2026 honeypoty widziały próby wdrożenia złośliwego przepływu Node-RED, który uruchamia się automatycznie i pobiera bota na system Linux. Przepływ uruchamia skrypt powłoki, który pobiera binarkę dla architektury AMD64 z zewnętrznego adresu, zapisuje ją w pamięci współdzielonej i uruchamia. W wariancie dwuetapowym pobierany jest dodatkowy skrypt, a następnie ładunek zapisywany pod nazwą udającą wątek jądra systemu.
Część żądań nie pobierała niczego — zamiast tego tworzyła endpoint HTTP (na przykład /cmd) powiązany z węzłem wykonującym polecenia, pozwalający uruchamiać komendy przez parametr zapytania. Taki backdoor przetrwa restart, który usunąłby implant z pamięci. Siemens opisał lukę w sierpniowym biuletynie 2026.
Najważniejsze ustalenia
- Luka: brak uwierzytelniania krytycznej funkcji w interfejsie HTTP Node-RED (CVSS 10); dotyczy Siemens SIMATIC IoT2050 Advanced z Node-RED.
- Od 30 października 2026 honeypoty VulnCheck rejestrują gotowe exploity wdrażające bota na system Linux; napastnicy używają też trwałego backdoora poleceniowego (endpoint z węzłem wykonującym komendy).
- Remediacja: aktualizacja Node-RED do 4.3.4.1 lub nowszej, albo deinstalacja; przy pozostawieniu — HTTPS, uwierzytelnianie edytora i admin API, basic auth dla węzłów HTTP i dashboardu.
- VulnCheck nie podaje liczby skompromitowanych urządzeń — to obserwacje z honeypotów, nie pomiar zasięgu.