# Vulnérabilité Node-RED : exploitation sans authentification sur l’OT

_Publié le 3 novembre 2026 — https://ip73.fr/2026/11/03/vulnerabilite-node-red-exploitation-sans-authentification-sur-l-ot/_

Des attaquants ont réussi à mettre en œuvre une exploitation active contre la vulnérabilité CVE-2026-58115, une faille d'authentification sur l'API d'administration de Node-RED. VulnCheck a rapporté, dès le 30 octobre 2026, la détection d'une tentative d'exploitation complète, provenant d'une adresse IP située dans le réseau d'AS8075, appartenant à Microsoft. Cette attaque a permis de déployer un flux malveillant capable de télécharger et d'exécuter un bot Linux.

Node-RED, cet outil de programmation visuelle, est largement utilisé non seulement dans le secteur domestique, mais aussi au cœur des infrastructures industrielles critiques (ICS/OT). C'est précisément cette utilisation étendue qui rend cette faille d'une gravité extrême. Le défaut, confirmé par Siemens, concerne l'absence de vérification d'identité sur l'interface HTTP de Node-RED, donnant un accès non autorisé aux nœuds de programmation qui peuvent exécuter des commandes système.

## Ce qui est touché et la gravité réelle

L'impact est maximal : la CVE-2026-58115 est classée CVSS 10/10. Selon les données du NVD, elle affecte notamment les dispositifs SIMATIC IoT2050 Advanced, toutes versions antérieures à la 4.3.4.1, lorsqu'elles utilisent l'OS industriel avec Node-RED. L'exploit observé n'a pas nécessité de compromission préalable ; il s'agit d'un accès totalement non authentifié. L'attaquant envoie un simple `POST /flows` contenant une définition de flux codée en plusieurs couches. Au décodage, on trouve une séquence qui utilise un nœud `exec` pour exécuter une commande shell, qui elle-même télécharge un binaire depuis un serveur contrôlé par l'agresseur.

Ce qui est frappant, c'est la sophistication de la chaîne d'attaque. Le payload est dissimulé derrière trois niveaux d'encodage, empêchant ainsi les filtres naïfs de détecter les commandes classiques comme `wget` ou `curl`. L'attaquant utilise un mécanisme de téléchargement avec une solution de repli, essayant d'abord `wget` puis de basculer sur `curl` si le premier échoue. Le binaire est enregistré dans `/dev/shm/.b`, un espace temporaire en mémoire vive, ce qui signifie qu'il disparaît au redémarrage, sauf si le bot met en place une persistance ailleurs.

## Qui doit agir et comment

Les acteurs de la sécurité doivent agir vite. VulnCheck a observé 16 événements de la même adresse IP contre cette CVE entre le 30 octobre et le 1er novembre. D'ailleurs, cette adresse a enregistré 125 tentatives contre huit CVE différentes récemment, ce qui indique une infrastructure de scan opportuniste plutôt qu'une attaque ciblée. Siemens a publié des correctifs pour les dispositifs SIMATIC IoT2050 Advanced, et il est impératif de vérifier si les systèmes Node-RED sont accessibles depuis l'extérieur du réseau. VulnCheck conseille de réviser les flux déployés pour détecter des nœuds `exec` ou des points de terminaison HTTP inattendus, car les attaquants laissent parfois des webshells au lieu de simples bots.

Pour contrer cette faille, il faut s'assurer que Node-RED ne peut pas être atteint sans authentification. De plus, il faut surveiller les flux pour des commandes shell cachées, car l'exploit repose sur la capacité à injecter un flux qui exécute une commande dès son déploiement.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-58115 | — | Critique (CVSS 10,0) | Non signalée | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).*

## Sources

- [Exploitation Targeting Node-RED, a Tool Embedded in ICS Products \| Blog \| VulnCheck](https://www.vulncheck.com/blog/exploitation-targeting-node-red), vulncheck.com
- [Critical Node-RED Flaw Exploited in Attacks](https://www.securityweek.com/critical-node-red-flaw-exploited-in-attacks/), SecurityWeek, 3 novembre 2026
- [Critical Linux kernel flaw allows remote root attacks on MPTCP servers](https://www.bleepingcomputer.com/news/security/critical-linux-kernel-flaw-allows-remote-root-attacks-on-mptcp-servers/), BleepingComputer, 30 octobre 2026
- [⚡ Weekly Recap: Critical CVEs, Linux DDoS Botnet, Device-Code Phishing, Android Spyware and More](https://thehackernews.com/2026/11/weekly-recap-critical-cves-linux-ddos.html), The Hacker News, 2 novembre 2026
- [GHSA-mmh6-f99q-64fh](https://github.com/advisories/GHSA-mmh6-f99q-64fh) : A vulnerability has been identified in SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2)…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-58115](https://nvd.nist.gov/vuln/detail/CVE-2026-58115), NVD (NIST)