Lỗ hổng nghiêm trọng của Node-RED bị khai thác để phát tán mã độc

Một lỗ hổng nghiêm trọng trong Node-RED đang bị khai thác để cài mã độc, bao gồm bot Linux và các cửa hậu web cho phép thực thi lệnh từ xa. VulnCheck cho biết nhiều cuộc tấn công xuất phát từ cùng một địa chỉ mạng, cho thấy kẻ xấu đang tự động dò tìm các phiên bản Node-RED không bật xác thực quản trị.

Node-RED là công cụ lập trình ít mã, cho phép tạo ứng dụng hướng sự kiện bằng cách kết nối các khối chức năng trong trình soạn thảo trên trình duyệt. Công cụ này được sử dụng trong nhiều sản phẩm thuộc các lĩnh vực khác nhau, trong đó có thiết bị điều khiển công nghiệp và công nghệ vận hành (ICS/OT).

Lỗ hổng cho phép thực thi lệnh không cần xác thực

Lỗ hổng mang mã CVE-2026-58115, có điểm CVSS 10/10, bắt nguồn từ việc giao diện HTTP của Node-RED không yêu cầu xác thực. Kẻ tấn công có thể truy cập các nút lập trình có khả năng thực thi lệnh hệ thống.

Siemens công bố lỗ hổng vào ngày 11/8, sau khi phát hiện vấn đề trên thiết bị SIMATIC IoT2050 Advanced chạy Industrial OS và có cài Node-RED. Các phiên bản SIMATIC IoT2050 Advanced từ 4.3.4.1 trở lên đã có bản vá.

Theo Siemens, kẻ tấn công từ xa không cần xác thực có thể tạo các luồng độc hại và thực thi mã tùy ý với quyền cao nhất trên máy chủ bên dưới.

Bot Linux và cửa hậu web được triển khai

VulnCheck cho biết đã ghi nhận khai thác thành công trong thực tế vào ngày 30/10. Cuộc tấn công đến từ một địa chỉ IP thuộc AS8075, mạng của Microsoft, và sử dụng một mã khai thác hoàn chỉnh.

Kẻ tấn công triển khai một luồng Node-RED, tự động kích hoạt luồng rồi tải tệp thực thi từ máy chủ do chúng kiểm soát. Theo VulnCheck, toàn bộ quá trình được che giấu qua ba lớp mã hóa.

Tải trọng là một bot Linux. Lệnh thực thi không kiểm tra quá trình cài đặt có thành công hay không. Dựa trên tên tệp, VulnCheck nhận định kẻ tấn công có thể đã chuẩn bị các tải trọng cho nhiều kiến trúc phần cứng.

Đến ngày 1/11, công ty ghi nhận thêm 15 cuộc tấn công từ cùng địa chỉ IP. Các tải trọng mới bao gồm cửa hậu web có khả năng giúp kẻ tấn công chạy lệnh tùy ý trên máy chủ bị xâm nhập.

VulnCheck cảnh báo các tác nhân đe dọa đang chủ động quét những máy chủ Node-RED không bật xác thực quản trị và tự động khai thác chỉ bằng một yêu cầu HTTP. Một số kẻ tấn công còn cài cửa hậu web thay vì bot, khiến việc rà soát các thành phần đã triển khai trở nên cần thiết.

Góc nhìn

Với đội ngũ vận hành hệ thống công nghiệp và máy chủ có cài Node-RED, việc cần làm trước mắt là kiểm tra giao diện có thể truy cập từ bên ngoài mạng hay không, đồng thời rà soát các luồng để tìm nút thực thi lệnh hoặc điểm cuối HTTP bất thường.

Sự việc cũng cho thấy công cụ lập trình ít mã, dù giúp xây dựng ứng dụng thuận tiện, vẫn có thể trở thành đường xâm nhập nếu giao diện quản trị không được bảo vệ. Các tổ chức nên áp dụng bản vá tương ứng và hạn chế khả năng truy cập mạng vào những phiên bản Node-RED đang vận hành.