La faille d’authentification Node-RED est exploitée à l’état sauvage

Des mois après que Siemens a publié des correctifs pour un trou d’authentification dans l’outil de programmation basé sur les flux Node-RED, celui-ci n’est toujours pas corrigé par de nombreux utilisateurs et les attaquants en profitent de manière sauvage.

Le problème concerne les systèmes IoT/IIoT open source, y compris ceux intégrés dans les infrastructures critiques, déployés hors du contrôle des RSSI et des DSI. La société de sécurité VulnCheck a découvert les exploits et a divulgué les détails dans un article de blog lundi.

« Le 30 octobre 2026, l’un de nos canaris a surpris un attaquant exploitant CVE-2026-58115, une faille non authentifiée de l’API d’administration Node-RED, pour déployer un flux qui télécharge et exécute un bot Linux. La demande provenait d’une adresse IP dans l’ASN de Microsoft (AS8075) », indique le message. « Depuis, nous avons observé 16 événements provenant de la même IP contre ce CVE, couvrant plusieurs charges utiles différentes. »

Le principal problème est que Node-RED est livré avec l’option d’authentification désactivée ; les utilisateurs sont censés modifier le paramètre avant sa mise en ligne.

Patrick Garrity, le chercheur en sécurité de VulnCheck qui a écrit l’article, a déclaré que le fait que les déploiements Node-RED soient populaires parmi les personnes extérieures au service informatique les rend vulnérables à des erreurs simples comme celle-ci.

« Ils sont mis en place par des personnes relativement peu techniques », a déclaré Garrity dans une interview.

Aman Mahapatra, directeur de la stratégie de la société de conseil en technologie Tribeca Softech, basée à New York, a déclaré que le trou Node-RED n’est pas nouveau, mais qu’il est toujours exploité dans la nature.

« La condition exploitée est celle que Node-RED utilise par défaut depuis des années : à moins qu’un administrateur ne configure l’authentification, toute personne pouvant accéder à l’éditeur peut déployer des flux, et la propre documentation du projet le dit », a-t-il déclaré. « Node-RED est populaire précisément parce que les ingénieurs peuvent le connecter sans impliquer l’informatique, ce qui signifie également qu’il apparaît rarement dans l’inventaire des actifs. C’est le même schéma qui se cache derrière les attaques contre les réfrigérateurs des supermarchés de cette semaine : des équipements installés hors de la vue de l’équipe de sécurité, accessibles depuis Internet, avec l’authentification désactivée. »

Mahapatra a souligné que le plus grand danger réside dans la nature de la manière dont les utilisateurs ont tendance à déployer Node-RED.

« Il s’agit d’un middleware d’intégration. Un déploiement typique communique Modbus, OPC UA, MQTT ou S7 aux contrôleurs d’un côté et aux bases de données, aux courtiers et aux services cloud de l’autre, et il stocke les informations d’identification de chacun d’eux », a-t-il déclaré. « Une instance compromise est un coffre-fort d’informations d’identification pour chaque système qu’elle touche et un pont au-dessus d’une frontière IT/OT qui, selon le schéma de réseau, n’existe pas. »

Un autre problème est que les correctifs des systèmes industriels ont tendance à être appliqués selon des calendriers pré-planifiés, plutôt que de répondre à des problèmes émergents ou à des modifications de paramètres suggérées.

« Siemens a publié son avis le 11 août et VulnCheck a détecté une exploitation le 30 octobre, trois jours après avoir expédié ses propres détections », a déclaré Mahapatra. « Onze semaines, c’est une courte période en OT, où les mises à jour du micrologiciel attendent les fenêtres de maintenance planifiées, de sorte qu’une part significative des passerelles concernées ne seront pas corrigées jusqu’à l’année prochaine. »

Frank Dickson, analyste principal chez Dickson Research, a ajouté que les détails des exploits constituent une bonne ou une mauvaise nouvelle pour les RSSI. La bonne nouvelle est que les attaques ne semblent pas avoir ciblé les systèmes industriels. La mauvaise nouvelle est que les attaquants ont quand même trouvé et accédé à ces systèmes.

Noah Kenney, consultant principal chez Digital 520, est d’accord.

« Ils n’ont pas nécessairement besoin de comprendre les équipements ou les opérations connectés à ces passerelles. Ils recherchent simplement des systèmes capables d’exécuter leurs commandes », a-t-il déclaré. « Cela crée une possibilité inquiétante que les opérations industrielles soient perturbées par des attaquants qui n’ont jamais eu l’intention de cibler les infrastructures critiques. Même des logiciels malveillants génériques consommant des ressources système ou interférant avec les communications réseau pourraient avoir des conséquences opérationnelles. »

Dickson a ajouté que combler ce trou ne résoudrait peut-être pas l’exposition. « Le rapport a également révélé que certains attaquants ont ignoré le bot et laissé des shells Web, des portes dérobées cachées pour exécuter des commandes plus tard », a déclaré Dickson. « Les correctifs ferment la porte. Ils n’expulsent personne déjà à l’intérieur. »