Lỗ hổng mức nghiêm trọng tối đa trong công cụ lập trình OT phổ biến bị khai thác để phát tán mã độc Linux

Chuyện gì đã xảy ra

Kẻ tấn công chưa rõ danh tính đang lợi dụng lỗi CVE-2026-58115 trong Node-RED. Lỗi này cho phép người lạ, không cần đăng nhập, tạo một luồng lệnh độc hại. Luồng đó tải về và chạy một tệp phần mềm độc hại có tên bot-linux-amd64. Các nhà nghiên cứu của VulnCheck phát hiện hoạt động này vào ngày 30 tháng 10 năm 2026, khi một cảm biến bẫy của họ bị tấn công.

Các con số chính

• Điểm mức độ nghiêm trọng của lỗi là 10 trên 10, mức cao nhất.
• Từ ngày 30 tháng 10 đến ngày 1 tháng 11, một địa chỉ IP đã nhắm vào lỗi Node-RED này 16 lần.
• Trong cùng thời gian, địa chỉ này tạo ra 125 lượt tấn công vào 8 lỗi CVE khác nhau trên mạng cảm biến bẫy của VulnCheck.
• Lỗi Apache Solr đã có từ 7 năm trước (CVE-2019-17558) cũng nằm trong danh sách mục tiêu.

Node-RED là gì

Node-RED là công cụ giúp người dùng ghép các khối lệnh lại với nhau bằng cách kéo thả, để tự động hóa công việc. Công cụ này được dùng nhiều trong hệ thống điều khiển công nghiệp và công nghệ vận hành (OT). Nó có trong sản phẩm của Siemens, như SIMATIC IoT2050. Theo bài báo, các thiết bị bị ảnh hưởng không yêu cầu xác thực trên giao diện HTTP của Node-RED, nên ai cũng có thể truy cập các khối lệnh có thể chạy lệnh hệ thống.

Vì sao điều này quan trọng

Tội phạm ngày càng nhắm vào các thiết bị OT và ICS nằm trên internet. Khi những thiết bị này bị tấn công, hậu quả có thể ảnh hưởng đến thế giới thật. Bài báo nhắc đến các vụ tấn công vào bộ điều khiển tủ lạnh ở châu Âu và hệ thống nước ở ít nhất 12 bang của Mỹ trong mùa hè. Nhà nghiên cứu cũng cho biết đây có vẻ là quét hàng loạt cơ hội, không phải tấn công nhắm riêng một mục tiêu. Máy quét tìm ra thiết bị dễ bị tổn thương, và một máy khác có thể được dùng để phát tán mã độc.

Cần theo dõi điều gì

• Xem thiết bị Node-RED của bạn có nằm trên internet không.
• Kiểm tra xem đã có bản vá cho CVE-2026-58115 hay chưa.
• Theo dõi máy chủ 85.215.73[.]250, nơi chứa tệp tải về khác mà VulnCheck đang theo dõi.
• Chú ý tệp bot-linux-amd64 và những phiên bản khác của nó.