Node-RED Dieksploitasi, Malware Linux Mengincar Perangkat OT

NODE-RED — Node-RED diserang untuk mengirim malware Linux melalui celah kritis yang memungkinkan peretas membuat alur perintah tanpa autentikasi. VulnCheck mencatat eksploitasi pertama pada 30 Oktober 2026, termasuk terhadap perangkat yang digunakan di lingkungan industri.

Ancaman ini menyasar perangkat yang mengatur sistem operasional, bukan hanya komputer kantor. Jika gateway industri dapat dijangkau dari luar jaringan dan tidak terlindungi, alur berbahaya berpotensi menjalankan perintah langsung pada perangkat.

Node-RED adalah perangkat pemrograman berbasis alur yang dipakai untuk otomasi, termasuk pada sistem kontrol industri (ICS) dan teknologi operasional (OT). Siemens memberi kerentanan ini identitas CVE-2026-58115 pada Agustus dan menetapkan tingkat keparahan CVSS sempurna, 10 dari 10.

Bagaimana celah Node-RED menjalankan perintah?

Perangkat Siemens yang terdampak tidak menerapkan autentikasi pada antarmuka HTTP Node-RED. Akibatnya, penyerang tanpa akun dapat mengakses node pemrograman yang mampu menjalankan perintah sistem.

Dua komponen bawaan membuat penyalahgunaan celah ini relatif mudah. Node inject dapat memicu pesan sesuai jadwal atau saat sistem mulai berjalan, sedangkan node exec menjalankan perintah shell.

Patrick Garrity, peneliti VulnCheck, mengatakan penyerang dapat menghubungkan kedua node itu dalam satu alur. “Wire one to the other and the flow executes a command as soon as it is deployed, with no further interaction,” kata Garrity dalam peringatan yang diterbitkan Senin.

Dengan rancangan seperti itu, penyerang tidak perlu berinteraksi lagi setelah alur diterapkan. VulnCheck menyebut pelaku mengirim eksploitasi lengkap dalam satu permintaan POST ke endpoint /flows. Catatan peneliti menunjukkan permintaan tersebut memuat alur dan pengunduh malware.

Node-RED dan pola pemindaian massal

VulnCheck mengamati aktivitas dari satu alamat IP, 4.201.105[.]116, yang berada di jaringan AS8075 milik Microsoft dan terpetakan ke Brasil. Antara 30 Oktober dan 1 November, alamat itu mencoba mengeksploitasi CVE-2026-58115 sebanyak 16 kali.

Dalam jaringan canary VulnCheck yang lebih luas, peneliti juga mencatat 125 percobaan terhadap delapan CVE berbeda. Salah satu sasaran lain adalah celah Apache Solr berusia tujuh tahun, CVE-2019-17558, yang berdampak pada Camunda, Gitea, MLflow, Traefik, dan Joomla.

Campuran celah lama dan baru pada produk yang tidak berkaitan mengarah pada pemindaian oportunistis, bukan serangan yang secara khusus menyasar satu organisasi. Bagi pengelola infrastruktur, pola seperti ini berarti perangkat yang terhubung ke internet dapat ditemukan tanpa menjadi target khusus.

Risikonya melampaui gangguan pada jaringan. Perangkat OT menghubungkan sistem digital dengan operasi fisik, sehingga kompromi terhadap pengendali atau gateway dapat mengusik layanan dan proses yang bergantung padanya.

Penyerang juga semakin memburu perangkat ICS dan OT yang terbuka ke internet, sementara serangan terhadap pengendali pendingin di Eropa dan sistem air di sedikitnya 12 negara bagian AS menunjukkan konsekuensi nyata dari gangguan pada infrastruktur.

Apa yang diketahui tentang malware Linux?

Nama berkas yang terlihat, bot-linux-amd64, mengindikasikan malware dirancang untuk Linux pada prosesor AMD64. Namun, peneliti tidak memperoleh berkas biner atau skrip yang dipasang bertahap, sehingga fungsi malware setelah berjalan belum diketahui.

Garrity mengatakan aktivitas yang tertangkap bukan sekadar pemindaian. “It didn’t just scan us. It sent the complete exploit, flow and dropper, in a single POST /flows,” tulisnya.

Dalam salah satu percobaan lain, payload mengarah ke server berbeda, 85.215.73[.]250. VulnCheck hanya memiliki telemetri berupa URL untuk server itu. Pemisahan antara mesin pemindai dan server unduhan mengisyaratkan pola scan-and-infect: satu mesin mencari perangkat rentan, lalu perangkat yang disusupi mengambil muatan dari server lain.

Node-RED juga digunakan dalam produk komersial, termasuk Siemens SIMATIC IoT2050. Karena itu, pemeriksaan tidak cukup berhenti pada komputer yang terlihat di kantor. Pengelola perlu memastikan antarmuka Node-RED tidak dapat diakses dari luar jaringan, memasang pembaruan yang tersedia, dan menyiapkan deteksi untuk aktivitas eksploitasi.

Garrity menyarankan pengguna Node-RED, termasuk yang menjalankannya di lingkungan OT, memeriksa keterjangkauan perangkat dari jaringan luar dan menerapkan pembaruan. Kerentanan ini sudah masuk katalog Known Exploited Vulnerabilities milik VulnCheck, tetapi belum tercantum dalam katalog KEV Badan Keamanan Siber dan Infrastruktur Amerika Serikat pada saat laporan diterbitkan.

Dalam tiga hari, satu alamat IP itu tercatat mencoba mengeksploitasi celah Node-RED sebanyak 16 kali.