Neznámí útočníci zneužívají chybu CVE-2026-58115 v nástroji Node-RED pro automatizaci průmyslového řízení. Chyba se týká také průmyslových bran Siemens SIMATIC IoT2050 a umožňuje bez přihlášení nahrát škodlivý kód.
Chyba má nejvyšší možné hodnocení závažnosti, 10 bodů z 10. U dotčených zařízení nevyžaduje rozhraní Node-RED ověření uživatele. Útočník proto může na dálku vytvořit automatizovaný postup, který po nahrání spustí příkaz v operačním systému zařízení.
Výzkumníci společnosti VulnCheck zachytili první zneužití 30. října 2026. Útočník v jediném požadavku odeslal škodlivý postup i příkaz ke stažení programu. Název souboru bot-linux-amd64 ukazuje na program určený pro Linux a běžné 64bitové procesory. Soubor se výzkumníkům nepodařilo získat, takže jeho přesnou činnost neznají.
Od 30. října do 1. listopadu přišlo ze stejné internetové adresy 16 pokusů o zneužití chyby v Node-RED. VulnCheck z této adresy zaznamenal také 125 pokusů o zneužití osmi dalších bezpečnostních chyb v různých produktech. Aktivitu proto hodnotí jako hromadné vyhledávání zranitelných zařízení, nikoli jako útok na konkrétní organizaci.
Kontrola začíná zjištěním, zda je rozhraní Node-RED dostupné z internetu. Následuje instalace dostupných aktualizací a sledování pokusů o zneužití. Dostupné informace neuvádějí přesné dotčené verze ani jednotný termín opravy. Rozhodující je proto dokumentace ke konkrétnímu zařízení.
Pokud je průmyslová brána přístupná z internetu a Node-RED nevyžaduje přihlášení, může cizí kód zasáhnout prostředí, které řídí fyzické procesy. U těchto zařízení proto musí být jasné, kdo vede jejich evidenci, kontroluje přístup z internetu a odpovídá za aktualizace. Tato odpovědnost nemůže zůstat jen na dodavateli IT.
Foto: Álvaro de la Paz Franco, Wikimedia Commons, CC0
Při plánování bezpečnostních aktualizací nestačí vysoké skóre zranitelnosti. Přednost má oprava systému, který je vystaven útoku a jehož napadení ohrozí přístupy, data nebo provoz.
Během 30 dní lze určit odpovědnost za kyberbezpečnost, prověřit účty, obnovu záloh i postup pro první hodinu incidentu.
Kdo drží obnovovací slova, může s bitcoinem nakládat, zatímco logo banky v aplikaci z něj bankovní vklad neudělá a pojištění vkladů se na něj nevztahuje.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
