Node-RED重大漏洞出現攻擊，工控設備應儘速修補

2026-11-05

資安研究機構VulnCheck於2026年11月初揭露，攻擊者已對存在身分驗證缺陷的Node-RED管理介面發送完整利用請求，企圖下載Linux惡意程式及建立持續控制管道。相關組織應優先檢查對外暴露的管理介面。

【事件經過】

VulnCheck表示，10月30日其誘捕系統首次收到針對CVE-2026-58115的攻擊，攻擊者透過Node-RED管理API建立惡意流程並觸發命令執行，嘗試下載外部程式。研究團隊至11月1日共觀察到來自同一來源IP的16次相關利用請求，部分變體嘗試植入網頁後門。

研究人員未取得惡意程式本體，尚無法確認其功能，也不能據誘捕系統資料推論企業設備已遭入侵。

【影響範圍】

CVE-2026-58115屬於關鍵功能缺少身分驗證（CWE-306）問題。Siemens安全公告SSA-834709指出，SIMATIC IoT2050 Advanced在執行Industrial OS、安裝Node-RED且系統版本低於V4.3.4.1時，可能允許未經登入的遠端攻擊者建立惡意流程，並以系統最高權限執行程式碼。

該漏洞CVSS v3.1及v4.0評分均為10.0。Siemens於8月11日發布修補；11月4日表示另確認三項受影響產品，完整範圍須以最新公告為準。

【建議措施】

管理員應先確認Node-RED管理API是否能從外部網路存取，並啟用適當身分驗證及網路存取限制。檢查已部署的Flow，尋找未經授權新增的exec命令節點、HTTP端點與可疑下載行為，同時保存存取紀錄供調查。

對符合公告條件的SIMATIC IoT2050 Advanced，應更新至Industrial OS V4.3.4.1或後續修補版本；無法立即更新時，依原廠指引強化Node-RED設定，或在業務允許下移除不必要元件。

【國內機關與企業之影響與因應】

原始研究未提供台灣受害案例。採用Node-RED串接設備或OT流程的組織，應將管理介面、應用流程與所依賴的設備韌體一併納入資產清查，避免只有設備網段隔離，卻忽略Web管理API的授權檢查。

若已有組態基準（GCB）或工控安全管理程序，可將管理介面身分驗證、必要服務及外部存取規則納入定期檢查。

【新聞出處】

原文標題：Node-RED重大漏洞出現攻擊嘗試，駭客企圖執行Linux惡意程式並部署網頁後門

媒體名稱：iThome

發布日期：2026年11月4日

原文網址：
https://www.ithome.com.tw/news/180178