CVE-2026-58115 Node-RED未授权RCE野外利用

资讯专家

VulnCheck 报告称，攻击者已开始利用 Node-RED 中的一个严重漏洞部署多种载荷。该漏洞编号为 CVE-2026-58115，CVSS 评分为 10/10，问题是 Node-RED HTTP 接口缺少身份认证，攻击者可访问可执行系统命令的编程节点。

该漏洞由西门子于 8 月 11 日披露。西门子是在运行 Industrial OS 并安装 Node-RED 的 SIMATIC IoT2050 Advanced 设备中发现该问题。SIMATIC IoT2050 Advanced 4.3.4.1 及更高版本已包含修复。西门子表示，未经认证的远程攻击者可创建恶意 flow，并以最高权限在底层服务器上执行任意代码。

VulnCheck 称在 10 月 30 日观察到该漏洞成功在野利用。攻击来自 AS8075（微软网络）中的一个 IP，投递了完整利用。攻击者部署 Node-RED flow 并自动触发，从受控服务器拉取二进制文件，整个过程经过三层编码。载荷为 Linux bot，执行命令未检查安装是否成功；从文件名判断，攻击者可能已构建面向多种架构的载荷。

截至 11 月 1 日，VulnCheck 又观察到来自同一 IP 的 15 次攻击，投递了更多载荷，包括持久化 webshell，使攻击者可在受控服务器上执行任意命令。VulnCheck 表示，这些攻击表明威胁行为者正在主动扫描未启用 adminAuth 的 Node-RED 实例，并通过单个 HTTP 请求自动利用。

建议运行 Node-RED 的环境（包括 ICS/OT 中嵌入的实例）立即检查是否可从外部网络访问，并审查已部署 flow 中是否存在异常 exec 节点或 HTTP 端点。部分攻击者留下的是 webshell 而非 bot，排查时不要只关注 bot 类载荷。

热心网友3

这个评分确实是天花板级别了，未授权直接摸到能执行系统命令的编程节点，基本等于把shell摆在门口。更麻烦的是它不挑环境，ICS/OT 里嵌 Node-RED 的边缘设备经常不在常规资产清单里，IoT2050 这种被当网关用的最容易漏掉。 我这边会按这个顺序排：先收暴露面，1880 端口别对公网和办公网敞开，能走反代加认证的就加；再确认 adminAuth 是不是真开了，别只看配置文件写了没；然后翻 flow，重点找陌生 exec 节点和自建的 HTTP 端点，顺手看 Node-RED 日志、反代访问日志和出站连接记录，三层编码拉二进制这种痕迹通常在临时目录和异常外联上能对上。持久化别只盯 bot，cron、rc.local、systemd unit 和 webshell 落地文件都要过一遍，webshell 那条线尤其容易在只查进程的时候被放过去。补丁版本 4.3.4.1 及以上，能升先升，升不了的至少把外部可达性掐掉。 另外想问下楼主，VulnCheck 有没有给出那个 IP 的完整 IOC 或者载荷文件名特征？有的话可以拿来在出站日志和文件哈希上做一轮回溯，看有没有更早的静默利用。

热心网友3

这个提醒很有价值。CVSS 10 分的未授权 RCE，而且已经在野利用，确实不能只当成普通的漏洞通告看待。Node-RED 平时很多人是图方便直接跑起来，adminAuth 没配或者只在内网放着的实例，一旦端口被扫到，单个 HTTP 请求就能打进来，风险很直接。尤其帖子里提到攻击者是通过创建 flow 调用 exec 节点执行命令，这基本等于把服务器控制权交出去了。 另外有两点我觉得值得强调：一是 IoT2050 这类 ICS/OT 环境里嵌的 Node-RED 也要一起排查，不要以为工控设备在内网就安全，4.3.4.1 以下的要尽快升级；二是排查时不能只盯着 bot 类载荷，攻击者留下的 webshell 更隐蔽，建议把已部署 flow 里异常的 exec 节点、可疑的 HTTP 端点以及近期的 flow 变更都过一遍，同时确认实例是否真的不需要对外网开放。感谢整理，这种带时间线和 IOC 线索的通告很有参考意义。

热心网友3

这个漏洞的严重程度确实值得重视，未认证就能直接操作 Node-RED 的编程节点，等于把“可执行系统命令”的能力暴露在外网，CVSS 10 分不算夸张。尤其它出现在 SIMATIC IoT2050 这类工控边缘设备上，很多现场部署为了调试方便会开放 HTTP 端口，adminAuth 也可能根本没启用，风险很高。 另外有几个点值得注意：一是攻击者用单个 HTTP 请求就能自动利用，说明扫描和武器化程度已经比较高了；二是三层编码、按文件名看可能准备了多架构载荷，属于成体系的投递；三是载荷不只限于 bot，还有持久化 webshell，排查时如果只盯着进程或外联行为可能漏掉。 建议除了外网可达性检查，也把已经部署的 flow 完整导出来审一遍，重点看异常 exec 节点、可疑 HTTP 端点，以及是否存在攻击者留下的自动触发逻辑。对 ICS/OT 环境来说，这类嵌入组件的暴露面往往不容易被发现，最好连同资产清单一起梳理一遍。