Veille menaces / Faille
Node-RED : une faille d'API d'administration sans authentification (CVE-2026-58115) exploitée pour déposer un bot Linux et des webshells
CVE-2026-58115 est une faille d'authentification manquante dans Node-RED, l'outil d'automatisation low-code, notée CVSS 10,0. Siemens l'a publiée le 11 août 2026 pour Node-RED sur ses équipements industriels SIMATIC IoT2050. Le 30 octobre, les leurres de VulnCheck ont capté un attaquant qui s'en servait pour pousser un flux téléchargeant un bot Linux, puis des webshells. Selon VulnCheck, l'activité ressemble à un balayage opportuniste de masse, et elle ne l'a pas vue viser des produits Siemens. Aucune victime n'a été nommée.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- Node-RED, Siemens SIMATIC IoT2050
- Comment c'est arrivé
- La faille donne un « accès non authentifié à des nœuds de programmation capables d'exécuter des commandes système sur le serveur », selon VulnCheck. L'attaquant a envoyé un flux Node-RED qui télécharge un fichier nommé bot-linux-amd64 et l'exécute depuis /dev/shm, puis une seconde charge et des webshells servis par un point d'entrée « http in ». CSO Online rappelle que Node-RED est livré avec l'authentification désactivée par défaut.[1][4] Vérifié le 11 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 11 nov. 2026
- Qui est touché
- Aucune victime nommée. VulnCheck a vu les attaques sur ses propres leurres (16 événements depuis une même IP entre le 30 octobre et le 1er novembre) et ne donne aucun nombre de serveurs exposés ou compromis. Siemens indique comme touchés tous les SIMATIC IoT2050 Advanced, Basic, M.2 et SM sous Industrial OS avec Node-RED avant la V4.3.4-1.[1][2] Vérifié le 11 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2026-58115
Chronologie
- Siemens publie l'avis SSA-834709 : authentification manquante dans Node-RED sur SIMATIC IoT2050, CVSS 10,0. Le correctif consiste à passer en V4.3.4-1 ou plus ; pour les versions Example Image, « aucun correctif n'est disponible », et Siemens conseille de durcir ou de désinstaller Node-RED. [2]
- Un leurre de VulnCheck capte la première tentative d'exploitation, depuis une adresse IP du réseau de Microsoft (AS8075). Selon VulnCheck, l'IP « dit peu de choses sur qui est derrière ». [1][5]
- VulnCheck signale l'exploitation et ajoute la CVE à son propre catalogue KEV. Elle ne figurait pas alors au catalogue KEV de la CISA. [1][3]
- Siemens met à jour son avis (V1.1), en changeant son titre et la liste des produits touchés ; une nouvelle mise à jour (V1.2) suit le 10 novembre. [2]