Node-RED, pek çok endüstriyel otomasyonun tesisatı: mühendislerin sensörleri, PLC'leri ve panoları birbirine bağlamak için kullandığı, akış tabanlı, Node.js üzerinde çalışan bir programlama ortamı. Aynı zamanda Siemens'in SIMATIC IoT2050 Advanced gateway'inde, kendisine kabuk komutu çalıştırılması söylenebilen bir HTTP arayüzünde dinliyor — ve VulnCheck'in bulduğu kurulumda şifre sormuyor.

Bu, CVSS 10.0'lık CVE-2026-58115: kritik bir fonksiyon için kimlik doğrulama eksikliği. Siemens Ağustos 2026'da bir uyarı yayımladı ve açığı Industrial OS 4.3.4.1'de kapattı; şirketin kendi metni alışılmadık biçimde açık: kimliği doğrulanmamış bir uzak saldırganın akışlar oluşturarak "altyapıdaki sunucuda azami yetkilerle rastgele kod çalıştırmasına" izin veriyor.

30 Ekim'de VulnCheck'in tuzak sistemleri ilk sömürü girişimini kaydetti. Araştırmacı Patrick Garrity'nin ifadesiyle: "Saldırganın isteği eksiksiz bir sömürüydü. Bir Node-RED akışı yerleştirdi, otomatik tetikledi ve saldırganın kontrolündeki sunucudan bir ikili dosya çekti; hepsi üç katmanlı kodlamanın arkasında."

Zincir tamamen ürünün kendi özelliklerinden kurulu; bu yüzden bellek bozma sömürüsüne de herkese açık bir kavram kanıtına da ihtiyaç duymuyor. Akış uç noktasına gönderilen tek bir POST, bir inject düğümünü bir exec düğümüne bağlı olarak kuruyor; inject bir saniye sonra tetikleniyor; exec düğümü base64 bir sarmalayıcı çalıştırıp içindeki kabuk komutunu kabuğa boruluyor. Bu komut wget ile, olmazsa curl ile bir AMD64 bot ikilisi indirip /dev/shm/.b'ye yazıyor — diskte iz bırakmayan bir tmpfs yolu — ve setsid ile nohup kullanarak başlatıyor; böylece Node-RED süreci ölse de ayakta kalıyor.

Sonraki istekler iki aşamalı bir indiriciye (wget.sh) ve /tmp içine, çekirdek çalışan iş parçacığı gibi görünecek şekilde .kworker adıyla bırakılan bir yüke geçti. Bazı akışlar indiriciyi tamamen atladı: bir HTTP-in uç noktası (/cmd gibi) ile addpay etkin bir exec düğümü arasına konan fonksiyon düğümü, saldırgana, bellek tabanlı implant yeniden başlatmada kaybolsa bile ayakta kalan bir webshell veriyor.

Raporlarda geçen altyapı: 85.215.73.250 ve 45.194.90.57:38472. İkincil yüklerin hiçbiri ele geçirilemediği için işlevleri bilinmiyor.

Önlem sıkıcı ve acil: Industrial OS 4.3.4.1'e güncelleyin ya da Node-RED'e ihtiyaç yoksa kaldırın; bağımsız kurulumlarda settings.js içinde adminAuth ayarlayın; 1880 portunu asla internete açmayın; yönetim arayüzlerini VPN veya kimlik doğrulayan bir vekil sunucunun arkasına alın; dağıtılmış akışları exec düğümleri ve belgelenmemiş HTTP-in uç noktaları için denetleyin. Araştırmacılar, kamusal internetten erişilebilen 20.000'den fazla Node-RED yönetim arayüzü sayıyor. Şifresiz bir otomasyon aracı otomasyon aracı değildir; güzel bir editörü olan uzak bir kabuktur.

Kaynaklar