Aanvallers maken misbruik van een kritieke kwetsbaarheid in programmeertool Node-RED om servers met malware te infecteren. Dat meldt cybersecuritybedrijf Vulncheck. Siemens maakte het bestaan van de kwetsbaarheid (CVE-2026-58115) in augustus bekend en stelde dat er ook updates voor het probleem beschikbaar waren. Node-RED is een 'low-code' visuele programmeertool om eenvoudig apparaten en applicaties te koppelen en taken te automatiseren. Het wordt gebruikt voor industriële omgevingen, maar ook het Internet of Things (IoT) en domotica.

CVE-2026-58115 betreft het ontbreken van authenticatie binnen de Node-RED HTTP interface. Een ongeauthenticeerde aanvaller kan hierdoor toegang tot programmeer-nodes krijgen die systeemcommando's op de server kunnen uitvoeren. Door middel van een malafide 'Node-RED flow' kan een aanvaller willekeurige code met maximale rechten op de onderliggende server uitvoeren, aldus het beveiligingsbulletin van Siemens. De CVSS-impactscore van de kwetsbaarheid is beoordeeld met een 10.0 op een schaal van 1 tot en met 10.

Siemens maakt op de SIMATIC IoT2050 gateway gebruik van Node-RED. Volgens de beschrijving van Siemens moet de IoT-gateway bestaande fabrieken 'Industrial Internet of Things (IIoT) ready' maken, zonder dat hiervoor hardware of software moet worden aangepast. Cybersecuritybedrijf Vulncheck meldt dat aanvallers misbruik van CVE-2026-58115 maken. Via een malafide flow zal de kwetsbare Node-RED-server malware van de server van de aanvallers downloaden en uitvoeren. Het gaat onder andere om een Linux-bot en webshell die als backdoor fungeert. Het is op dit moment nog onbekend wat het doel van de aanvallers is.