Lỗ hổng Node-RED điểm tối đa bị khai thác để phát tán mã độc Linux

Một lỗ hổng có điểm nghiêm trọng tối đa trong Node-RED đang bị khai thác để phát tán mã độc nhắm vào Linux. Công cụ lập trình theo luồng này được dùng rộng rãi trong tự động hóa công nghiệp, khiến các thiết bị vận hành có giao diện quản trị lộ ra ngoài mạng đối mặt với nguy cơ bị điều khiển từ xa.

Node-RED thường được triển khai trong hệ thống điều khiển công nghiệp (ICS) và môi trường công nghệ vận hành (OT). Công cụ này được xây dựng trên Node.js, đồng thời xuất hiện trong các sản phẩm thương mại như Siemens SIMATIC IoT2050.

Lỗ hổng cho phép thực thi lệnh từ xa

Siemens đã gán mã định danh CVE-2026-58115 cho lỗ hổng vào tháng 8. Lỗi được chấm 10/10 theo hệ thống CVSS, thang điểm đánh giá mức độ nghiêm trọng của lỗ hổng.

Trên các thiết bị Siemens bị ảnh hưởng, giao diện HTTP của Node-RED không yêu cầu xác thực. Vì vậy, người dùng từ xa không cần đăng nhập vẫn có thể truy cập các nút lập trình có khả năng thực thi lệnh hệ thống, rồi tạo luồng độc hại trên thiết bị.

Nhà nghiên cứu Patrick Garrity của VulnCheck cho biết một hệ thống giám sát của nhóm đã phát hiện kẻ tấn công khai thác lỗ hổng vào ngày 30/10/2026. Theo cảnh báo được công bố hôm thứ Hai, hai nút tích hợp sẵn của Node-RED khiến việc tận dụng lỗi trở nên đơn giản.

Nút inject có thể phát thông điệp theo lịch hoặc ngay khi khởi động; nút exec có thể chạy lệnh hệ thống. Nối hai nút này với nhau sẽ tạo luồng tự chạy lệnh ngay sau khi được triển khai, không cần thêm thao tác nào.

Dấu hiệu quét và phát tán mã độc

VulnCheck ghi nhận hoạt động từ một địa chỉ IP duy nhất: 4.201.105[.]116, thuộc mạng AS8075 của Microsoft và được định vị tại Brazil. Kẻ tấn công gửi toàn bộ nội dung khai thác, gồm luồng và chương trình tải mã độc, trong một yêu cầu POST đến đường dẫn /flows.

Từ ngày 30/10 đến 1/11, địa chỉ này nhắm vào lỗ hổng Node-RED 16 lần. Trên toàn bộ mạng giám sát của VulnCheck, nhóm cũng ghi nhận 125 lượt tấn công nhằm vào tám mã định danh lỗ hổng khác nhau.

Một trong các lượt tấn công liên quan đến lỗ hổng Apache Solr đã tồn tại bảy năm, mang mã CVE-2019-17558. Các sản phẩm bị nhắm đến trong hoạt động quét rộng hơn còn có Camunda, Gitea, MLflow, Traefik và Joomla. Việc kết hợp các lỗ hổng cũ và mới trên nhiều sản phẩm không liên quan cho thấy đây có thể là hoạt động quét hàng loạt để tìm mục tiêu dễ bị tổn thương, thay vì một chiến dịch nhắm vào một tổ chức cụ thể.

Tên tệp bot-linux-amd64 cho thấy mã độc hướng đến Linux chạy trên bộ xử lý AMD64, đồng thời có thể tồn tại các phiên bản khác. Tuy nhiên, VulnCheck không lấy được tệp nhị phân hoặc các tập lệnh được triển khai, nên chưa thể xác định mã độc làm gì sau khi chạy.

Một lượt tấn công khác trả về tải trọng dẫn đến máy chủ riêng có địa chỉ 85.215.73[.]250. VulnCheck chưa có dữ liệu giám sát nào khác ngoài địa chỉ URL. Theo nhóm nghiên cứu, việc máy chủ tải mã độc tách biệt với máy chủ gửi khai thác có thể cho thấy mô hình “quét rồi lây nhiễm”: máy tìm và khai thác thiết bị sẽ tải mã độc từ một máy chủ chuyên dụng khác.

Khuyến nghị kiểm tra thiết bị Node-RED

Lỗ hổng này đã được đưa vào danh mục Lỗ hổng đã bị khai thác (KEV) của VulnCheck. Tại thời điểm bài viết được đăng, nó chưa xuất hiện trong danh mục KEV của Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ.

VulnCheck khuyến nghị những đơn vị vận hành Node-RED, kể cả trong môi trường OT, kiểm tra ngay xem giao diện có thể truy cập từ bên ngoài mạng hay không, cài đặt bản cập nhật nếu có và triển khai biện pháp phát hiện để giảm nguy cơ bị khai thác.

Góc nhìn

Với các hệ thống công nghiệp, một công cụ phục vụ tự động hóa cũng có thể trở thành điểm xâm nhập nếu giao diện quản lý không được bảo vệ bằng xác thực và có thể truy cập từ bên ngoài. Việc rà soát phạm vi truy cập mạng của Node-RED là bước thực tế cần ưu tiên, bên cạnh cập nhật và giám sát dấu hiệu khai thác.

Các nhà phát triển và kỹ sư nên xem xét kỹ quyền thực thi lệnh của các nút trong luồng, đặc biệt khi triển khai chúng trên thiết bị vận hành. Hạn chế khả năng truy cập không cần thiết sẽ giúp giảm rủi ro từ các đợt quét hàng loạt như hoạt động VulnCheck ghi nhận.