Lỗ hổng nghiêm trọng trong Node-RED bị khai thác để phân phối malware Linux
"A maximum-severity vulnerability (CVE-2026-58115) in Node-RED, a flow-based programming tool used in OT/ICS environments, is being actively exploited to deliver Linux malware. The vulnerability allows unauthenticated attackers to execute system commands via the HTTP interface, enabling the deployment of malicious flows. Affected systems, like Siemens devices, lack authentication on the Node-RED interface."
Lỗ hổng Node-RED cho phép thực thi lệnh từ xa mà không cần xác thực, tạo điều kiện cho việc triển khai malware Linux trong các hệ thống ICS/OT.
Các doanh nghiệp sử dụng Node-RED trong môi trường công nghiệp có thể bị gián đoạn hoạt động và tổn thất dữ liệu do malware.
Kẻ tấn công đang khai thác lỗ hổng nghiêm trọng (CVE-2026-58115) trong Node-RED, một công cụ lập trình dựa trên luồng được sử dụng rộng rãi trong các hệ thống điều khiển công nghiệp (ICS) và công nghệ vận hành (OT). VulnCheck ghi nhận hoạt động này từ ngày 30 tháng 10 năm 2026.
Node-RED, xây dựng trên Node.js, thường được dùng để tự động hóa quy trình trong môi trường ICS/OT. Siemens SIMATIC IoT2050 là một sản phẩm thương mại sử dụng Node-RED. Lỗ hổng cho phép kẻ tấn công không xác thực thực thi lệnh hệ thống thông qua giao diện HTTP, từ đó triển khai các luồng độc hại. Các thiết bị Siemens bị ảnh hưởng không yêu cầu xác thực trên giao diện Node-RED.
Patrick Garrity từ VulnCheck cảnh báo lỗ hổng này “dễ dàng khai thác” nhờ hai node tích hợp sẵn: node inject (gửi tin nhắn theo lịch hoặc khi khởi động) và node exec (chạy lệnh shell). Kết hợp hai node này, kẻ tấn công có thể thực thi lệnh ngay khi triển khai luồng. IP 4.201.105[.]116 (thuộc Microsoft AS8075, đặt tại Brazil) đã gửi cả exploit, luồng và dropper trong một yêu cầu POST /flows.
Malware được tải xuống có tên bot-linux-amd64, nhắm mục tiêu Linux trên bộ xử lý AMD64. Kẻ tấn công cũng nhắm mục tiêu lỗ hổng Apache Solr 7 năm tuổi (CVE-2019-17558) trên các sản phẩm như Camunda, Gitea, MLflow, Traefik và Joomla. Garrity nhận định đây là hành vi quét và tấn công hàng loạt, không nhắm mục tiêu cụ thể. Một máy chủ khác (85.215.73[.]250) được sử dụng để tải xuống malware, cho thấy mô hình quét-và-lây nhiễm.
Câu hỏi thường gặp
CVE-2026-58115 là gì?
CVE-2026-58115 là một lỗ hổng bảo mật nghiêm trọng trong Node-RED cho phép kẻ tấn công thực thi lệnh hệ thống từ xa mà không cần xác thực.
Node-RED được sử dụng ở đâu?
Node-RED thường được sử dụng trong các hệ thống điều khiển công nghiệp (ICS) và công nghệ vận hành (OT) để tự động hóa quy trình. Siemens SIMATIC IoT2050 là một ví dụ về sản phẩm sử dụng Node-RED.
Kẻ tấn công đã làm gì?
Kẻ tấn công đã khai thác lỗ hổng để tải xuống và chạy malware Linux có tên bot-linux-amd64. Chúng cũng nhắm mục tiêu các lỗ hổng khác trên các sản phẩm khác nhau.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng quan ngại đối với các doanh nghiệp Việt Nam sử dụng Node-RED trong các hệ thống điều khiển công nghiệp. Việc kiểm tra khả năng truy cập từ bên ngoài mạng và áp dụng các bản cập nhật bảo mật là rất quan trọng. Điều đáng chú ý là, mặc dù lỗ hổng đã được thêm vào danh mục KEV của VulnCheck, nhưng chưa xuất hiện trong danh mục KEV của CISA.