널리 쓰이는 OT 프로그래밍 도구의 최고 심각도 취약점, 리눅스 악성코드 유포에 악용

무슨 일이 일어났나

알려지지 않은 범죄자들이 Node-RED의 최고 위험 등급 취약점(CVE-2026-58115)을 이용하고 있습니다. 그들은 이 구멍을 통해 리눅스 봇(자동으로 움직이는 악성 프로그램)을 내려받아 실행하는 '플로우'를 기기에 심었습니다. 연구진 VulnCheck가 10월 30일 공격을 처음 포착했습니다. 이 취약점은 지멘스 기기에 영향을 줍니다.

핵심 숫자와 사실

• 취약점 위험 점수: 10점 만점에 10점
• 10월 30일 ~ 11월 1일: 같은 IP 주소가 Node-RED 취약점을 16번 노렸습니다
• 같은 기간 연구진의 함정(카나리) 네트워크에서 8개 다른 CVE(취약점 번호)를 노린 125건의 접속 시도가 확인되었습니다
• 공격 출발지 IP 주소는 마이크로소프트 네트워크에 속하며, 위치는 브라질로 표시됩니다

배경 설명

Node-RED는 여러 장치를 순서대로 연결해 자동화 작업을 만드는 도구입니다. 지멘스 SIMATIC IoT2050 같은 상용 제품에도 들어 있습니다. 문제는 지멘스 기기에서 Node-RED 웹 입구에 로그인 확인 절차가 없다는 점입니다. 그래서 누구든 명령을 실행하는 블록에 접근할 수 있습니다. 최근에는 인터넷에 노출된 산업용 장비를 노리는 공격도 늘고 있어, 현실 세계에 실제 피해가 날 수 있습니다.

왜 중요한가

이 공격은 로그인 없이도 기기에 명령을 심을 수 있어 매우 쉽습니다. 연구진은 공격자가 아무 목표를 가리지 않고 넓게 찾는 방식이라고 보았습니다. 공장이나 수도 시설 같은 곳의 장비가 인터넷에 열려 있다면, 악성 프로그램이 들어와 실제 생산과 생활에 피해를 줄 수 있습니다. 관리자는 장비가 인터넷에 직접 노출되어 있지 않은지 지금 바로 확인해야 합니다.

앞으로 지켜볼 점

• 지멘스와 Node-RED 개발 측의 보안 업데이트 발표 여부
• 공격에 쓰인 리눅스 봇 파일의 실제 기능이 무엇인지 분석 결과
• 85.215.73[.]250 서버에서 추가 악성 프로그램이 내려받아지는지 여부