Er is een critical beveiligingslek in Node-RED in het nieuws: aanvallers hebben het al in de praktijk misbruikt. De kern van het probleem is dat de Node-RED HTTP-interface onvoldoende is afgeschermd. Daardoor kunnen externe partijen mogelijk zonder authenticatie ingrijpen en uiteindelijk opdrachten laten uitvoeren op de server.
Onderzoekers van VulnCheck melden dat ze actieve aanvallen hebben gezien en dat de uitbuiting lijkt te draaien om het automatisch plaatsen en activeren van kwaadaardige flows. Dit is extra zorgelijk omdat Node-RED breed wordt ingezet, ook binnen omgevingen voor ICS/OT.
Wat is de Node-RED kwetsbaarheid precies?
Het lek is geregistreerd als CVE-2026-58115 en heeft een CVSS-score van 10/10. Volgens de beschikbare beschrijving gaat het om een ontbrekende authenticatie op de Node-RED HTTP-interface.
In normale omstandigheden beschermt authenticatie toegang tot programmeerfuncties. Bij dit lek kan een aanvaller echter mogelijk toegang krijgen tot programmeer-nodes die in staat zijn om systeemcommando’s uit te voeren. Siemens gaf later aan dat de kwetsbaarheid kan leiden tot het aanmaken van kwaadwillende flows en het uitvoeren van willekeurige code op de onderliggende server met maximale privileges.
Waar wordt Node-RED toegepast en waarom is dat relevant?
Node-RED is een low-code, flow-based tool waarmee je event-gedreven toepassingen bouwt via een webgebaseerde editor. Juist die webeditor en de manier waarop flows worden samengesteld maken het aantrekkelijk voor snelle ontwikkeling.
Tegelijk geldt: als Node-RED onderdeel is van een industriële of technische omgeving (bijvoorbeeld een apparaat met OT-software), kan een succesvolle aanval verder gaan dan alleen een webinterface. De impact kan doorwerken richting het systeem waarop Node-RED draait, zeker wanneer er sprake is van volledige serverrechten.
Hoe werkt het misbruik in de praktijk?
VulnCheck rapporteert dat er op 30 oktober succesvolle uitbuiting is waargenomen. De aanval kwam vanaf een IP-adres in AS8075 (het netwerk van Microsoft). Het uiteindelijke proces bestond uit het leveren van een volledige exploit.
De waargenomen aanpak is opvallend praktisch:
- De aanvallers zetten een Node-RED flow neer.
- Ze triggeren die flow automatisch.
- Daarna wordt een binair bestand opgehaald van een server die door de aanvaller wordt beheerd.
- Het geheel gebeurt “achter meerdere lagen van encoding”.
Het payload-type dat VulnCheck beschrijft is een Linux-bot. Ook wijst de rapportage erop dat de aanvallers mogelijk payloads voor meerdere architecturen hebben klaargezet (op basis van bestandsnamen).
Wat kun je nog meer zien aan de sporen?
Later, op 1 november, zagen onderzoekers 15 extra aanvallen vanaf hetzelfde IP-adres. Daarbij werden aanvullende payloads geleverd. Opmerkelijk is dat er ook persistente webshells zijn aangetroffen of geleverd.
Een webshell kan aanvallers in staat stellen om op een gecompromitteerde server op afstand commando’s uit te voeren. Dat betekent dat een aanval niet per se beperkt blijft tot een eenmalige installatie: de toegang kan blijven bestaan.
Waarom is dit zo urgent?
VulnCheck concludeert dat dreigingsactoren actief scannen naar Node-RED-instanties die zonder adminAuth bereikbaar zijn. Vervolgens lijken ze die kwetsbare systemen te exploiteren met een enkele HTTP-aanvraag.
Dit maakt de dreiging concreet voor beheerders: als jouw Node-RED omgeving vanuit het internet bereikbaar is (of vanaf externe netwerken), neemt de kans op misbruik toe.
Checklist: wat je vandaag nog moet controleren
Als je Node-RED gebruikt—ook als onderdeel van embedded systemen binnen ICS/OT—dan is het verstandig om de volgende punten snel door te lopen.
1) Check of Node-RED extern bereikbaar is
VulnCheck adviseert om te controleren of Node-RED “bereikbaar is vanuit buiten je netwerk”. Zet anders gezegd: kijk of de HTTP-interface niet onbedoeld openstaat richting internet.
2) Controleer gepubliceerde flows op verdachte exec-nodes
Door de manier waarop aanvallers flows inzetten, is het zinvol om te zoeken naar onverwachte exec-nodes of HTTP-endpoints die je zelf niet hebt geïmplementeerd. Let daarbij ook op endpoints die niet passen bij je normale logica.
3) Houd rekening met webshells, niet alleen bots
Niet elke aanval eindigt met een “bot”. Volgens VulnCheck laten sommige aanvallers eerder een webshell achter. Daarom is het belangrijk om verder te kijken dan alleen de aanwezigheid van één payload.
Patchen: wat Siemens adviseert
Siemens meldde het lek op 11 augustus, nadat het was vastgesteld in SIMATIC IoT2050 Advanced apparaten met Industrial OS en Node-RED geïnstalleerd. De organisatie specificeert dat SIMATIC IoT2050 Advanced versie 4.3.4.1 en later patches bevat voor dit beveiligingsprobleem.
Bekijk dus binnen jouw organisatie welke Node-RED-installaties je hebt (inclusief industriële appliances) en of je al op een versie of build zit waarin het lek is opgelost.
Extra context: vergelijkbare incidenten en wat je ervan leert
Wanneer leveranciers aangeven dat kwetsbaarheden actief worden misbruikt, is het verstandig om je incidentrespons af te stemmen op “snelle actie” in plaats van alleen achteraf rapportages te verzamelen. Dat geldt ook voor lekken die via webinterfaces worden misbruikt—de aanpak van aanvallers richt zich dan op bereikbaarheid, authenticatie en het plaatsen van persistente componenten.
Wil je je aanpak voor scanning en prioritering aanscherpen? Lees dan ook Exposure prioritization: 4 elementen met bewijs om te bepalen waar je als eerste naar kijkt. Daarnaast helpt het om de impact van exec-achtige acties te begrijpen, bijvoorbeeld in de keten rond web- of applicatiefouten zoals beschreven in Siemens IoT2050 Node-RED lek: remote backdoors.
Conclusie
De Node-RED kwetsbaarheid (CVE-2026-58115) is niet langer alleen een theoretisch risico. De meldingen wijzen op in-the-wild misbruik waarmee aanvallers flows kunnen plaatsen, systemen kunnen beïnvloeden en mogelijk persistente webshells kunnen achterlaten.
Pak daarom nu de basis aan: verwijder externe blootstelling waar mogelijk, patch naar de beschikbare vaste versies, en onderzoek flows en endpoints op verdachte exec-nodes of ongewenste HTTP-componenten. Zo beperk je de kans dat een schijnbaar ‘kleine’ authenticatielacune uitgroeit tot een volledige compromis.
Bron: https://www.securityweek.com/critical-node-red-flaw-exploited-in-attacks/
