Onbekende cybercriminelen misbruiken een ernstige kwetsbaarheid in Node-RED, een programmeertool die in industriële omgevingen wordt gebruikt. Via het beveiligingslek installeren ze Linux-malware en plaatsen ze backdoors waarmee ze toegang tot getroffen systemen kunnen behouden.
Dat blijkt uit onderzoek van VulnCheck. Het beveiligingsbedrijf onderschepte op 30 oktober een aanval op CVE-2026-58115. Dit is een kwetsbaarheid met de maximale CVSS-score van 10. Sindsdien registreerden de onderzoekers meerdere pogingen om het lek te misbruiken.
Node-RED is een op Node.js gebaseerde programmeeromgeving waarmee gebruikers geautomatiseerde processen kunnen samenstellen. De software wordt onder meer gebruikt in industriële besturingssystemen en gebouwautomatisering. Ook Siemens past Node-RED toe in zijn SIMATIC IoT2050, een gateway voor industriële toepassingen.
De kwetsbaarheid ontstaat doordat getroffen apparaten geen authenticatie vereisen voor toegang tot de beheerinterface. Aanvallers kunnen daardoor op afstand workflows aanmaken die opdrachten uitvoeren op het onderliggende besturingssysteem.
Malware vanuit het werkgeheugen
VulnCheck onderschepte een aanval waarbij de volledige exploit via één HTTP-verzoek werd verstuurd. De aanvaller combineerde twee standaardcomponenten van Node-RED om automatisch opdrachten uit te voeren.
De kwaadaardige code was verborgen achter meerdere coderingslagen. Vervolgens werd geprobeerd een Linux-bot te downloaden en uit te voeren vanuit /dev/shm, een locatie die gebruikmaakt van het werkgeheugen. Daardoor laat de malware minder sporen achter op de reguliere schijfopslag.
De onderzoekers konden het gedownloade programma niet analyseren. De bestandsnaam bot-linux-amd64 wijst op malware voor Linux-systemen met AMD64-processors, maar de precieze werking is onbekend.
Bij andere aanvallen ontdekten de onderzoekers een methode om blijvende toegang te verkrijgen. Daarbij maakten de aanvallers nieuwe HTTP-eindpunten aan binnen Node-RED. Via deze eindpunten kunnen ze later opnieuw systeemopdrachten uitvoeren.
Deze backdoors blijven onderdeel van de Node-RED-configuratie en kunnen daardoor ook na een herstart beschikbaar blijven. Het verwijderen van malware uit het werkgeheugen is dan onvoldoende om de aanvaller buiten te sluiten.
Tussen 30 oktober en 1 november registreerde VulnCheck vanaf hetzelfde IP-adres ook aanvallen op andere kwetsbaarheden, onder meer in Apache Solr, Gitea en Joomla. Volgens de onderzoekers wijst dit op grootschalige, geautomatiseerde aanvallen in plaats van gerichte acties tegen specifieke organisaties.
VulnCheck adviseert organisaties om te controleren of hun Node-RED-installaties vanaf internet bereikbaar zijn. Daarnaast moeten beschikbare updates worden geïnstalleerd en bestaande workflows worden gecontroleerd op verdachte opdrachten en onbekende HTTP-eindpunten.