Node-RED Dieksploitasi, Malware Linux Mengincar Perangkat OT

NODE-RED — Node-RED diserang untuk mengirim malware Linux melalui celah kritis yang memungkinkan peretas membuat alur perintah tanpa autentikasi. VulnCheck mencatat eksploitasi pertama pada 30 Oktober 2026, termasuk terhadap perangkat yang digunakan di lingkungan industri.

Ancaman ini menyasar perangkat yang mengatur sistem operasional, bukan hanya komputer kantor. Jika gateway industri dapat dijangkau dari luar jaringan dan tidak terlindungi, alur berbahaya berpotensi menjalankan perintah langsung pada perangkat.

Node-RED adalah perangkat pemrograman berbasis alur yang dipakai untuk otomasi, termasuk pada sistem kontrol industri (ICS) dan teknologi operasional (OT). Siemens memberi kerentanan ini identitas CVE-2026-58115 pada Agustus dan menetapkan tingkat keparahan CVSS sempurna, 10 dari 10.

Bagaimana celah Node-RED menjalankan perintah?

Perangkat Siemens yang terdampak tidak menerapkan autentikasi pada antarmuka HTTP Node-RED. Akibatnya, penyerang tanpa akun dapat mengakses node pemrograman yang mampu menjalankan perintah sistem.

Dua komponen bawaan membuat penyalahgunaan celah ini relatif mudah. Node inject dapat memicu pesan sesuai jadwal atau saat sistem mulai berjalan, sedangkan node exec menjalankan perintah shell.

Patrick Garrity, peneliti VulnCheck, mengatakan penyerang dapat menghubungkan kedua node itu dalam satu alur. “Wire one to the other and the flow executes a command as soon as it is deployed, with no further interaction,” kata Garrity dalam peringatan yang diterbitkan Senin.

Dengan rancangan seperti itu, penyerang tidak perlu berinteraksi lagi setelah alur diterapkan. VulnCheck menyebut pelaku mengirim eksploitasi lengkap dalam satu permintaan POST ke endpoint /flows. Catatan peneliti menunjukkan permintaan tersebut memuat alur dan pengunduh malware.

Node-RED dan pola pemindaian massal

VulnCheck mengamati aktivitas dari satu alamat IP, 4.201.105[.]116, yang berada di jaringan AS8075 milik Microsoft dan terpetakan ke Brasil. Antara 30 Oktober dan 1 November, alamat itu mencoba mengeksploitasi CVE-2026-58115 sebanyak 16 kali.

Dalam jaringan canary VulnCheck yang lebih luas, peneliti juga mencatat 125 percobaan terhadap delapan CVE berbeda. Salah satu sasaran lain adalah celah Apache Solr berusia tujuh tahun, CVE-2019-17558, yang berdampak pada Camunda, Gitea, MLflow, Traefik, dan Joomla.