Node-RED : un défaut CVSS 10 exploité dans la nature cible les passerelles industrielles
La société VulnCheck a observé l’exploitation réelle de CVE-2026-58115, une faille d’authentification CVSS 10 dans Node-RED qui livre l’exécution de code sur les passerelles industrielles embarquées. Les équipes qui exécutent Node-RED doivent vérifier aujourd’hui même que l’interface n’est pas exposée et auditer leurs flux à la recherche de nœuds exec.
11 août 2026. Siemens divulgue CVE-2026-58115, une absence d’authentification sur l’interface HTTP de Node-RED, notée CVSS 10,0. 30 octobre. VulnCheck observe une exploitation réelle dans la nature, venue d’une adresse Microsoft. 1er novembre. Quinze attaques supplémentaires, dont des webshells persistants. Pourquoi c’est important : un outil embarqué dans des milliers de passerelles industrielles se fait exploiter par une simple requête HTTP, et les attaquants laissent des portes dérobées, pas seulement des bots.
Ce qu’est Node-RED, et pourquoi il est partout sans qu’on le sache
Node-RED est un outil de programmation visuelle flow-based : on câble des nœuds dans une interface web pour construire des applications événementielles. Sa simplicité l’a rendu omniprésent dans l’IIoT et l’OT — il est embarqué dans des produits commerciaux, des concentrateurs domotiques aux passerelles industrielles.
Siemens l’a trouvé dans ses appareils SIMATIC IoT2050 Advanced sous Industrial OS, avec Node-RED installé. C’est ce constat qui a déclenché la divulgation du 11 août : la version 4.3.4.1 et les suivantes corrigent le défaut.
Le problème de fond tient en une ligne : Node-RED écoute par défaut sur HTTP, et sans adminAuth configuré, n’importe qui peut atteindre l’éditeur de flux. L’éditeur de flux est un interpréteur : les nœuds exec y exécutent des commandes système. Une interface non protégée est donc un shell distant pour quiconque la trouve.
CVSS 10 : la faille qui ne demande qu’une requête
CVE-2026-58115 est décrite comme une absence d’authentification sur l’interface HTTP. Le libellé de Siemens est sans ambiguïté : un attaquant distant et non authentifié peut créer des flux malveillants et exécuter du code arbitraire avec les privilèges maximaux sur le serveur sous-jacent.
La gravité CVSS 10,0 se lit dans le vecteur : aucune interaction requise, aucune authentification, impact complet sur confidentialité, intégrité et disponibilité. C’est la classe de faille qu’un scanner Shodan peut exploiter en boucle, sans chaîne complexe.
L’exploitation réelle, décrite par VulnCheck
Le 30 octobre, VulnCheck a observé une exploitation réussie depuis une adresse du AS8075 — le réseau de Microsoft. L’attaquant a déployé un flux Node-RED, l’a déclenché automatiquement, puis a téléchargé un binaire depuis un serveur contrôlé, le tout derrière trois couches d’encodage. Le binaire était un bot Linux, et le nom du fichier suggère que l’attaquant avait préparé des charges pour plusieurs architectures.
Le 1er novembre, VulnCheck comptait quinze attaques supplémentaires depuis la même adresse, livrant des charges additionnelles — dont des webshells persistants qui laissent à l’attaquant un canal de commande durable sur le serveur compromis.
La conclusion de VulnCheck est la leçon à retenir : les attaquants scannent activement les instances Node-RED sans adminAuth et les exploitent automatiquement avec une seule requête HTTP. La cible n’est pas la curiosité, c’est l’industrialisation du compromis.
Comment vérifier son exposition en une minute
Le tri est simple, et il ne demande pas de chercher une commande dédiée : Node-RED est un serveur web. Trois questions suffisent :
- Votre instance est-elle joignable depuis l’extérieur ? Si l’éditeur (
:1880) répond sur une adresse routable, vous êtes déjà dans le périmètre visé. adminAuthest-il activé ? Le fichiersettings.jsdoit définiradminAuth; sans lui, l’éditeur est ouvert.- Vos flux contiennent-ils des nœuds
execou des endpoints HTTP inattendus ? Un webshell laissé par un attaquant apparaît comme un nœud que personne n’a ajouté.
La vérification rapide du port, sur la machine qui héberge Node-RED :
curl -s -o /dev/null -w "%{http_code}\n" http://127.0.0.1:1880/Un code 200 sans authentification demandée est le symptôme à corriger immédiatement : activez adminAuth, puis restez en segmentation réseau — une passerelle industrielle n’a aucune raison d’être routable depuis Internet.
Pourquoi c’est un signal pour l’OT et pas seulement pour le labo
Cette exploitation change une intuition confortable. Node-RED était perçu comme un outil de prototypage ; le voilà utilisé comme point d’ancrage dans des environnements industriels. La logique est celle de l’attaquant moderne : cibler les appareils connectés à Internet que personne ne patche, puis y laisser un webshell pour revenir.
Le défaut n’est pas la sophistication de la faille — une absence d’authentification est triviale — mais la surface qu’elle couvre : chaque passerelle IIoT, chaque boîtier domotique et chaque concentrateur qui embarque Node-RED sans adminAuth est une porte ouverte exploitable en une requête.
Pourquoi l’OT est le maillon qui patche le moins
La faille CVE-2026-58115 a été corrigée par Siemens dès le 11 août — trois mois avant l’exploitation observée. Ce décalage est la vraie statistique de l’incident : la correction existait, l’exploitation a quand même eu lieu, parce que les passerelles industrielles se patchent rarement.
Les raisons sont structurelles. Une passerelle OT contrôle un procédé physique ; l’arrêter pour appliquer un correctif peut coûter une ligne de production. Son cycle de vie se mesure en années, pas en semaines, et elle est souvent gérée par une équipe distincte de l’IT. Résultat : le correctif de sécurité entre en collision avec la continuité de service, et c’est la sécurité qui cède.
L’attaquant le sait. La campagne observée par VulnCheck ne vise pas des installations récentes : elle scanne Internet à la recherche d’instances Node-RED exposées sans adminAuth, puis dépose un bot ou un webshell. C’est l’industrialisation du compromis d’appareils qu’on ne surveille pas.
Ce que la segmentation change vraiment
La parade ne tient pas qu’au correctif. Même patchée, une passerelle industrielle n’a pas à être joignable depuis Internet. La segmentation réseau — placer Node-RED derrière un accès VPN ou un pare-feu, hors de toute adresse routable — réduit l’attaque à néant avant même qu’une CVE ne soit découverte. Le correctif ferme la faille ; la segmentation la rend hors d’atteinte. Les deux ne sont pas interchangeables : une faille inconnue reste exploitable sur une passerelle exposée, aussi à jour soit-elle par ailleurs.
C’est la différence entre une politique de sécurité qui réagit aux CVE et une architecture qui n’en dépend pas. En OT, la première est nécessaire, la seconde est ce qui vous protège vraiment — parce que le prochain défaut n’a pas encore de numéro.
Verdict
Si vous exécutez Node-RED, activez adminAuth aujourd’hui, vérifiez que l’éditeur n’est pas joignable depuis l’extérieur, puis auditez vos flux à la recherche de nœuds exec ou d’endpoints HTTP que personne n’a ajoutés — dans cet ordre, car l’authentification d’abord, l’audit ensuite, jamais l’inverse. La faille est exploitée dans la nature, ce qui change la gravité : vous ne corrigez pas une menace théorique, vous fermez une porte qu’un acteur ouvre déjà en boucle. Dans un environnement OT, maintenez les passerelles sous segmentation réseau stricte et derrière le correctif 4.3.4.1 ou plus récent côté SIMATIC IoT2050 : un webshell laissé sur une passerelle industrielle coûte plus cher à détecter qu’à prévenir.