Siemensは8月に、自社の一部IoT機器に存在するこの脆弱性を公表し、修正しました。しかし未修正のシステムが残っており、今も攻撃を受けています。
Siemensがフローベースのプログラミングツール「Node-RED」の認証不備に対する修正を公開してから数カ月がたちました。しかし、多くのユーザーは今も対処しておらず、攻撃者がこの欠陥を実環境で悪用しています。
問題の対象は、オープンソースのIoT/IIoTシステムです。重要インフラに組み込まれたものも含まれ、CISOやCIOの管理が及ばない場所に展開されています。セキュリティ企業のVulnCheckがこの攻撃を発見し、月曜日のブログ記事で詳細を公表しました。
同ブログ記事は次のように述べています。「2026年10月30日、当社のカナリア（おとりシステム）が、攻撃者によるCVE-2026-58115の悪用を捉えました。これは認証不要でNode-REDの管理APIにアクセスできる脆弱性で、攻撃者はこれを使ってLinux向けボットをダウンロード・実行するフローを展開しました。リクエストは、MicrosoftのASN（AS8075）に属するIPアドレスから送信されていました。その後、同じIPアドレスからこのCVEを狙う16件のイベントを確認しており、複数の異なるペイロードが使われています」
根本的な問題は、Node-REDが認証オプションを無効にした状態で出荷されていることです。ユーザーは、本番稼働させる前に自分で設定を変更することになっています。
この記事を執筆したVulnCheckのセキュリティ研究者、Patrick Garrity氏は、Node-REDがIT部門以外の担当者に広く使われているため、こうした初歩的なミスを起こしやすいと指摘しています。
「Node-REDは、技術的な知識が比較的乏しい人たちが導入しています」と、Garrity氏はインタビューで語りました。
ニューヨークに拠点を置く技術コンサルティング会社Tribeca Softechの最高戦略責任者、Aman Mahapatra氏は、Node-REDのこの問題は新しいものではないものの、今も実環境で悪用されていると述べました。
「悪用されている状態は、Node-REDが長年デフォルトとして抱えてきたものです。管理者が認証を設定しない限り、エディタに到達できる人なら誰でもフローを展開できます。これはプロジェクト自身のドキュメントにも明記されています」と同氏は話します。「Node-REDが普及しているのは、まさにエンジニアがIT部門を介さずに構築できるからです。裏を返せば、資産台帳にほとんど載らないということでもあります。今週発生したスーパーマーケットの冷凍設備への攻撃も同じ構図です。セキュリティチームの目が届かない場所に機器が設置され、インターネットから到達可能で、認証が無効になっていました」
Mahapatra氏は、最大の危険はユーザーがNode-REDを展開する際の典型的なやり方にあると指摘しました。
「Node-REDは統合用のミドルウェアです。典型的な環境では、一方でModbus、OPC UA、MQTT、S7といったプロトコルを使ってコントローラーと通信し、もう一方でデータベースやブローカー、クラウドサービスと通信します。そして、それらすべての認証情報を保存しています」と同氏は説明します。「侵害されたインスタンスは、接続先すべてのシステムに対する認証情報の保管庫になります。しかも、ネットワーク図上は存在しないはずのIT/OT境界をまたぐ橋渡しにもなってしまいます」
もう一つの問題は、産業用システムのパッチ適用が、突発的な問題や推奨される設定変更への対応ではなく、事前に計画されたスケジュールに沿って行われがちなことです。
「Siemensがアドバイザリーを公開したのは8月11日です。VulnCheckが悪用を確認したのは10月30日で、これは同社が独自の検知機能を提供してから3日後のことでした」とMahapatra氏は言います。「11週間というのは、OTの世界では短い猶予期間です。ファームウェアの更新は計画的なメンテナンス期間まで待たされるため、影響を受けるゲートウェイのかなりの部分が、来年に入っても未修正のまま残るでしょう」
Dickson Researchの主席アナリスト、Frank Dickson氏は、今回の悪用の詳細はCISOにとって良いニュースと悪いニュースが混在していると付け加えました。良いニュースは、攻撃が産業用システムを狙ったものとは見られないことです。悪いニュースは、攻撃者がそれでもこれらのシステムを見つけ、アクセスしていることです。
Digital 520の主席コンサルタント、Noah Kenney氏も同意見です。
「攻撃者は、これらのゲートウェイに接続された機器や運用を必ずしも理解する必要はありません。自分たちのコマンドを実行できるシステムを探しているだけです」と同氏は話します。「そのため、重要インフラを狙うつもりがまったくなかった攻撃者によって、産業オペレーションが混乱させられる恐れがあります。汎用的なマルウェアであっても、システムリソースを消費したり、ネットワーク通信を妨げたりすれば、運用に影響を及ぼす可能性があります」
Dickson氏はさらに、この穴をふさいでも、リスクが解消するとは限らないと述べました。「報告書によると、ボットを使わず、Webシェルを残した攻撃者もいました。Webシェルとは、後からコマンドを実行するための隠れた裏口です」と同氏は言います。「パッチを適用すれば入り口は閉じられます。しかし、すでに侵入した相手を追い出すことはできません」
Evan Schuman氏は、本人が認めたがらないほど長い間、IT分野を取材してきました。小売テクノロジーサイト「StorefrontBacktalk」の創設編集者であり、CBSNews.com、RetailWeek、Computerworld、eWeekでコラムニストを務めてきました。BusinessWeek、VentureBeat、Fortuneから、The New York Times、USA Today、Reuters、The Philadelphia Inquirer、The Baltimore Sun、The Detroit News、The Atlanta Journal-Constitutionに至るまで、幅広い媒体に記事が掲載されています。CIO、CSO、Network World、InfoWorldにも頻繁に寄稿しています。
Evan氏は、次の記事で2025年のAZBEE賞エンタープライズニュース部門の金賞を受賞しました。Design flaw has Microsoft Authenticator overwriting MFA accounts, locking users out
連絡先は[email protected]です。LinkedInでもフォローできます。
