آسیب‌پذیری با شدت بسیار بالا (Maximum-severity) در ابزار برنامه‌نویسی Node-RED، که به طور گسترده در زیرساخت‌های حیاتی و محیط‌های فناوری عملیاتی (OT) استفاده می‌شود، مورد سوءاستفاده قرار گرفته است. عامل‌های تهدید از این حفره امنیتی برای اجرای جریان‌های (flows) مخرب جهت دانلود و اجرای بات‌های لینوکسی (Linux bots) استفاده می‌کنند.
Node-RED یک ابزار برنامه‌نویسی مبتنی بر جریان (flow-based) است که برای خودکارسازی گردش کار در سیستم‌های کنترل صنعتی (ICS) و محیط‌های OT کاربرد وسیعی دارد. این ابزار بر پایه Node.js ساخته شده و در محصولات تجاری از جمله Siemens SIMATIC IoT2050 نیز به کار می‌رود. آسیب‌پذیری شناسایی شده با شناسه CVE-2026-58115، دارای امتیاز کامل 10 از 10 در مقیاس CVSS است.
در دستگاه‌های تحت تأثیر، رابط HTTP مربوط به Node-RED احراز هویت را اجبار نمی‌کند. این موضوع به مهاجمان اجازه می‌دهد بدون نیاز به نام کاربری یا رمز عبور، به گره‌های برنامه‌نویسی دسترسی پیدا کرده و دستورات سیستم (system commands) را اجرا کنند. محققان گزارش داده‌اند که مهاجمان می‌توانند با استفاده از دو گره داخلی Node-RED، یعنی گره inject (برای اجرای پیام در زمان مشخص) و گره exec (برای اجرای دستورات شل یا shell commands)، به سرعت این آسیب‌پذیری را به یک ابزار حمله (weaponize) تبدیل کنند.
مشاهدات نشان می‌دهد که این فعالیت‌ها بیشتر از نوع اسکن انبوه فرصت‌طلبانه (opportunistic mass scanning) هستند تا حملات هدفمند. مهاجمان با ارسال یک درخواست POST کامل، همزمان اکسپلویت، جریان مخرب و فایل Dropper را مستقر می‌کنند. نام فایل شناسایی شده، bot-linux-amd64، نشان‌دهنده هدف قرار دادن سیستم‌های لینوکسی با پردازنده‌های AMD64 است.
با توجه به افزایش حملات به تجهیزات OT و ICS که در معرض اینترنت هستند، این موضوع می‌تواند آسیب‌های فیزیکی جدی در دنیای واقعی ایجاد کند. متخصصان توصیه می‌کنند فوراً دسترسی‌های خارجی به محیط‌های Node-RED را بررسی کرده، به‌روزرسانی‌های لازم را اعمال و سیستم‌های تشخیص (detection) را برای کاهش ریسک سرایت (infection) فعال‌سازی کنند.
