Node-REDの深刻な脆弱性、攻撃で悪用される

脆弱性インテリジェンス企業のVulnCheckによると、ハッカーがNode-REDの重大な脆弱性の悪用を開始し、さまざまなペイロードを展開しています。

Node-REDは、ブラウザベースのエディタでイベント駆動型アプリケーションを構築できる、ローコードのフローベースプログラミングツールです。商用のICS/OTデバイスをはじめ、さまざまな分野の製品で使われています。

この脆弱性はCVE-2026-58115（CVSSスコア10/10）として追跡されています。Node-RED HTTPインターフェースにおける認証欠如の問題とされ、攻撃者がシステムコマンドを実行できるプログラミングノードにアクセスできる恐れがあります。

Siemensは8月11日にこの脆弱性を公表しました。Node-REDがインストールされたIndustrial OSを搭載する「SIMATIC IoT2050 Advanced」デバイスで見つかったものです。SIMATIC IoT2050 Advancedのバージョン4.3.4.1以降で、このセキュリティホールが修正されています。

Siemensによると、CVE-2026-58115により「認証されていないリモートの攻撃者が悪意あるフローを作成し、基盤サーバ上で最高権限により任意のコードを実行できる可能性があります」。

VulnCheckは日曜日、10月30日にこの脆弱性が実環境で悪用され、攻撃が成功したのを確認したと警告しました。攻撃はMicrosoftのネットワークであるAS8075内のIPアドレスから行われ、完全なエクスプロイトが使われていたといいます。

VulnCheckは「攻撃者はNode-REDのフローを展開して自動的に実行させ、攻撃者管理下のサーバからバイナリを取得していました。これらはすべて3層のエンコードで隠されていました」と説明しています。

ペイロードはLinux向けのボットでした。実行コマンドは、インストールが成功したかどうかを確認していませんでした。同社は、ファイル名から、攻撃者が複数のアーキテクチャ向けにペイロードを用意していたとみています。

11月1日までに、VulnCheckは同じIPアドレスからの攻撃をさらに15件確認しました。そこでは追加のペイロードが送り込まれており、その中には永続的なWebシェルも含まれていました。侵害したサーバ上で、ハッカーが任意のコマンドを実行できるようになります。

VulnCheckによると、これらの攻撃は、脅威アクターがadminAuthを設定していないNode-REDインスタンスを積極的にスキャンし、1回のHTTPリクエストで自動的に悪用していることを示しています。

VulnCheckは「Node-REDをICS/OT環境への組み込みを含め、どこかで運用している場合は、ネットワーク外部から到達可能かどうかを今すぐ確認してください。また、攻撃者がボットではなくWebシェルを残す例もあるため、展開済みのフローに不審なexecノードやHTTPエンドポイントがないかも点検してください」と注意を促しています。