گزارش‌های امنیتی حاکی از آن است که مهاجمان شروع به بهره‌برداری از یک آسیب‌پذیری با شدت بحرانی در ابزار Node-RED کرده‌اند تا انواع مختلفی از Payloadها را در سیستم‌های هدف مستقر کنند. Node-RED یک ابزار برنامه‌نویسی مبتنی بر جریان (flow-based) و کم‌کد (low-code) است که در طیف گسترده‌ای از محصولات، از جمله دستگاه‌های تجاری در حوزه ICS/OT، برای ایجاد برنامه‌های رویداد-محور استفاده می‌شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-58115 ثبت شده و امتیاز کامل CVSS 10/10 را دریافت کرده است، ناشی از مشکل عدم احراز هویت (Missing Authentication) در رابط HTTP ابزار Node-RED است. این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا به گره‌های برنامه‌نویسی (Programming Nodes) دسترسی پیدا کرده و دستورات سیستم را با بالاترین سطح دسترسی اجرا کنند.
شرکت زیمنس (Siemens) پس از شناسایی این مشکل در دستگاه‌های SIMATIC IoT2050 Advanced که از سیستم‌عامل صنعتی با Node-RED استفاده می‌کنند، آن را افشا کرد. نسخه‌های 4.3.4.1 و بالاتر این دستگاه‌ها شامل وصله‌های امنیتی (Patches) برای رفع این حفره هستند.
الگوی حملات مشاهده شده
طبق گزارش شرکت VulnCheck، بهره‌برداری فعال از این آسیب‌پذیری در دنیای واقعی مشاهده شده است. مهاجمان با استفاده از زیرساخت‌های شبکه مایکروسافت، جریان‌های مخرب (Malicious Flows) را اجرا کرده و یک بدافزار لینوکسی (Linux Bot) را مستقر می‌کنند. علاوه بر این، مشاهده شده است که مهاجمان برای حفظ دسترسی خود، از Webshellهای پایدار استفاده می‌کنند تا بتوانند دستورات دلخواه را در سرورهای آلوده اجرا کنند.
اقدامات پیشنهادی برای مدیران امنیت و SOC
- بررسی دسترسی شبکه: بلافاصله بررسی کنید که آیا رابط Node-RED از طریق شبکه اینترنت در دسترس است یا خیر. دسترسی به این ابزار باید محدود به شبکه‌های داخلی و امن باشد.
- بازبینی جریان‌ها (Flows): تمامی جریان‌های مستقر شده را برای وجود گره‌های غیرمنتظره مانند
execیا نقاط انتهایی (Endpoints) HTTP مشکوک بازبینی کنید. - آپدیت فوری: در صورت استفاده از تجهیزات زیمنس، بلافاصله نسخه سیستم‌عامل را به نسخه‌های اصلاح‌شده ارتقا دهید.
