Node-RED ist die Verrohrung eines Großteils der Industrieautomation: eine flow-basierte Programmierumgebung auf Node.js, mit der Ingenieure Sensoren, SPSen und Dashboards verbinden. Auf dem Siemens-Gateway SIMATIC IoT2050 Advanced ist sie zugleich über eine HTTP-Schnittstelle erreichbar, der man Shell-Befehle zur Ausführung übergeben kann – und in der Standardinstallation, die VulnCheck fand, fragt sie nach keinem Passwort.

Das ist CVE-2026-58115, CVSS 10.0, fehlende Authentifizierung für eine kritische Funktion. Siemens veröffentlichte im August 2026 eine Warnung und behob das Problem in Industrial OS 4.3.4.1; der eigene Text ist ungewöhnlich direkt: Flows erlauben einem nicht authentifizierten Angreifer, "auf dem zugrunde liegenden Server mit maximalen Rechten beliebigen Code auszuführen".

Am 30. Oktober registrierten VulnChecks Honeypots den ersten Ausnutzungsversuch. "Die Anfrage des Angreifers war ein kompletter Exploit", schrieb Forscher Patrick Garrity. "Er hat einen Node-RED-Flow ausgerollt, ihn automatisch ausgelöst und ein Binary von einem vom Angreifer kontrollierten Server geladen – hinter drei Kodierungsschichten."

Die Kette besteht ausschließlich aus Produktfunktionen. Deshalb braucht sie keinen Speicherkorruptions-Exploit und keinen öffentlichen Proof of Concept. Ein einzelner POST an den Flows-Endpunkt installiert einen Inject-Node, der mit einem Exec-Node verdrahtet ist; Inject feuert eine Sekunde später; der Exec-Node führt einen Base64-Wrapper aus, der einen Shell-Befehl dekodiert und in die Shell pipet. Der lädt ein AMD64-Bot-Binary per wget, mit curl als Fallback, nach /dev/shm/.b – ein tmpfs-Pfad ohne Spur auf der Platte – und startet es mit setsid und nohup, sodass es den Node-RED-Worker überlebt.

Folgeanfragen wechselten auf einen zweistufigen Downloader (wget.sh) und auf eine Nutzlast namens .kworker in /tmp, getarnt als Kernel-Worker-Thread. Andere Flows verzichteten ganz auf den Downloader: ein HTTP-in-Endpunkt (etwa /cmd), über einen Function-Node mit einem Exec-Node mit aktiviertem addpay verbunden, liefert eine Webshell, die einen Neustart übersteht, auch wenn das speicherbasierte Implantat verschwindet.

Bekannte Infrastruktur in den Berichten: 85.215.73.250 und 45.194.90.57:38472. Keine der Sekundärnutzlasten war abrufbar; ihre Funktion ist unbekannt.

Die Gegenmaßnahme ist langweilig und dringend: auf Industrial OS 4.3.4.1 patchen oder Node-RED deinstallieren, wenn es nicht gebraucht wird; in Standalone-Installationen adminAuth in settings.js setzen; Port 1880 niemals ins Internet stellen; Management-Oberflächen hinter VPN oder authentifizierenden Proxy legen; ausgerollte Flows auf Exec-Nodes und undokumentierte HTTP-in-Endpunkte prüfen. Forscher zählen mehr als 20.000 aus dem offenen Internet erreichbare Node-RED-Management-Oberflächen. Ein Automatisierungswerkzeug ohne Passwort ist kein Automatisierungswerkzeug, sondern eine Remote-Shell mit hübschem Editor.

Quellen