Node-RED : une faille Siemens exploitée, que faire

Une faille Node-RED notée 10 sur 10, CVE-2026-58115, est désormais exploitée. Elle touche les passerelles industrielles Siemens SIMATIC IoT2050 Advanced, dont l'interface Node-RED n'exige aucune authentification. La société VulnCheck rapporte, dans une analyse publiée le 2 novembre 2026, avoir observé une tentative d'exploitation le 30 octobre visant à installer un bot sous Linux.

Une interface d'administration sans mot de passe

Node-RED est un outil de programmation par flux, bâti sur Node.js, qui se pilote depuis un éditeur dans le navigateur. Très utilisé dans l'automatisation industrielle et domestique, il fonctionne aussi bien dans le cloud que sur de petites machines comme le Raspberry Pi.

Siemens a publié le 11 août 2026 l'avis de sécurité SSA-834709. Il concerne le SIMATIC IoT2050 Advanced (référence 6ES7647-0BA00-1YA2) dans toutes ses versions antérieures à V4.3.4.1, lorsqu'il fonctionne sous Industrial OS avec Node-RED installé. L'interface HTTP de Node-RED n'y applique aucune authentification (CWE-306). Un attaquant distant peut donc créer des flux malveillants et exécuter du code arbitraire sur l'appareil avec les privilèges maximaux. La faille obtient la note maximale de 10,0 en CVSS 3.1 comme en CVSS 4.0.

Ce qu'a observé VulnCheck

Selon VulnCheck, l'attaquant a envoyé une seule requête POST /flows à l'API d'administration. Elle déploie un flux composé d'un nœud inject, qui se déclenche une seconde après le déploiement, et d'un nœud exec, qui exécute une commande système. La commande, encodée trois fois en base64, télécharge un binaire baptisé « bot-linux-amd64 » dans /dev/shm, le rend exécutable puis le lance en arrière-plan. VulnCheck précise ne pas avoir analysé ce binaire.

D'autres variantes ont été relevées : un script de téléchargement, un binaire déposé sous le nom /tmp/.kworker, ou encore des webshells persistants exposés via des nœuds http in. Entre le 30 octobre et le 1er novembre, l'entreprise a compté 16 événements provenant de la même adresse IP, qui visait aussi Apache Solr, Gitea, MLflow, Traefik ou Joomla. VulnCheck y voit un balayage opportuniste à grande échelle.

La faille figure dans le catalogue de vulnérabilités exploitées de VulnCheck, mais pas encore, au moment de sa publication, dans le catalogue KEV de la CISA.

Que faire

Pour les passerelles Siemens concernées, l'éditeur recommande avant tout de passer en version V4.3.4.1 ou ultérieure. À défaut, il propose deux mesures :

• désinstaller Node-RED s'il n'est pas utilisé ;
• durcir l'installation en suivant le guide de sécurisation de Node-RED, et limiter l'accès réseau à l'appareil.

Le problème dépasse ce seul produit : toute instance Node-RED exposée sans authentification peut être attaquée de la même façon. VulnCheck conseille de :

1. Vérifier l'exposition : Node-RED ne devrait pas être joignable depuis Internet.
2. Configurer adminAuth, le mécanisme d'authentification de l'éditeur et de l'API d'administration. Les instances qui en sont dépourvues sont trouvées et exploitées automatiquement.
3. Inspecter les flux déployés, à la recherche de nœuds exec ou de points d'entrée HTTP inattendus, signes possibles d'un webshell.
4. Rechercher les traces de fichiers suspects dans /dev/shm ou /tmp sur les machines qui étaient exposées.

En cas de compromission, la passerelle doit être considérée comme non fiable : réinstallation, rotation des identifiants qu'elle stocke et revue des équipements auxquels elle accède. Sur ce type de matériel, souvent situé à la jonction entre réseau informatique et réseau industriel, une telle intrusion peut servir de point d'appui vers les systèmes de production.