Node-RED 曝出满分严重漏洞，已被利用分发 Linux 恶意软件
知名安全研究机构 VulnCheck 披露，广泛部署于工业控制系统（ICS）和操作技术（OT）环境的编程工具 Node-RED 正遭受活跃攻击。攻击者利用该工具中一个 CVSS 评分为 10.0 的严重漏洞（CVE-2026-58115），向目标设备植入针对 Linux 系统的恶意软件。
无需认证的远程代码执行风险
Node-RED 基于 Node.js 构建，常用于工作流程自动化，并被集成在包括西门子 SIMATIC IoT2050 在内的商业产品中。今年 8 月，西门子正式分配了 CVE-2026-58115 标识符来描述这一缺陷。
该漏洞的核心问题在于受影响的西门子设备未在 Node-RED HTTP 接口上实施身份验证机制。这意味着未经认证的远程攻击者可以直接访问编程节点，并在设备上执行任意系统命令。VulnCheck 研究员 Patrick Garrity 指出，Node-RED 内置的两个关键节点使得该漏洞极易被武器化：一个是能够按时间表或启动时触发消息的“注入节点”，另一个是可以执行外部命令的“执行节点”。攻击者只需创建恶意流，无需进一步交互即可实现控制。
攻击活动细节与恶意载荷分析
VulnCheck 的监测系统在 2026 年 10 月 30 日发现了针对该漏洞的利用尝试。Garrity 在周一发布的安全公告中表示，观察到的攻击流量源自单一 IP 地址 4.201.105[.]116。该地址位于 Microsoft AS8075 网络范围内，地理定位指向巴西。
攻击者通过单一的 POST /flows 请求发送完整的漏洞利用代码。虽然研究人员未能获取二进制文件或分阶段脚本进行深入分析，但文件名 bot-linux-amd64 表明恶意软件专门针对运行在 AMD64 处理器架构上的 Linux 系统。这也暗示恶意软件运营方可能准备了其他架构的版本。由于未捕获到实际运行的二进制文件，目前尚不清楚该恶意软件在执行后的具体行为。
大规模机会主义扫描而非定向攻击
数据显示，在 10 月 30 日至 11 月 1 日期间，上述 IP 地址针对同一 Node-RED 漏洞发起了 16 次攻击尝试。此外，VulnCheck 还在更广泛的加拿大群岛网络中记录了 125 次针对八个不同 CVE 的访问记录。攻击目标涵盖了一个追踪为 CVE-2019-17558 的 Apache Solr 旧漏洞（影响 Camunda, Gitea, MLflow, Traefik 和 Joomla 等产品），以及 Node-RED 本身。
研究人员观察到，其中一个成功利用的请求指向了另一台服务器（85.215.73[.]250），但该服务器除了 URL 外没有提供其他远程测量数据。这种下载主机与发送漏洞的主机分离的现象，表明攻击者采用了扫描与感染分离的基础设施设置：由一台主机负责寻找并利用脆弱实例，再从单独的专用服务器上拉取植入物。
Garrity 总结道，相关产品中新旧漏洞混合出现的特征，表明这更像是一场机会主义的大规模扫描，而非有针对性的特定攻击。值得注意的是，美国至少 12 个州的水系统在今年夏天曾遭到类似针对互联网接入 OT/ICS 设备的攻击。
防护建议与状态更新
VulnCheck 已将 CVE-2026-58115 列入其已知漏洞（KEV）目录，但目前该漏洞尚未出现在美国网络安全和基础设施安全局（CISA）的 KEV 列表中。鉴于攻击活动的持续性和潜在危害，任何运行 Node-RED 的用户，特别是处于 OT 环境中的机构，应立即采取缓解措施并检查系统安全性。
