ช่องโหว่วิกฤตใน Node-RED ถูกแฮกเกอร์โจมตีเพื่อฝังมัลแวร์แล้ว

แฮกเกอร์เริ่มใช้ประโยชน์จากช่องโหว่ความรุนแรงระดับวิกฤตใน Node-RED เพื่อติดตั้ง payload หลากหลายรูปแบบ ตามรายงานล่าสุดจาก VulnCheck บริษัทรวบรวมข้อมูลอัจฉริยะด้านช่องโหว่

Node-RED เป็นเครื่องมือเขียนโปรแกรมแบบ visual programming ระดับ low-code ที่นิยมใช้สร้างแอปพลิเคชันแบบ event-driven ผ่านเบราว์เซอร์ โดยมีการใช้งานอย่างแพร่หลายในผลิตภัณฑ์หลายภาคส่วน รวมถึงอุปกรณ์ในกลุ่ม ICS/OT เชิงพาณิชย์

ช่องโหว่ดังกล่าวถูกติดตามในรหัส CVE-2026-58115 ซึ่งได้รับคะแนนความรุนแรง CVSS เต็ม 10/10 ปัญหานี้เกิดจากการขาดการยืนยันตัวตนบน HTTP interface ของ Node-RED ส่งผลให้ผู้โจมตีสามารถเข้าถึง programming nodes และสั่งรันคำสั่งในระบบได้โดยตรง

Siemens ได้เปิดเผยรายละเอียดเรื่องนี้เมื่อวันที่ 11 สิงหาคม หลังจากตรวจพบในอุปกรณ์ SIMATIC IoT2050 Advanced ที่ใช้งาน Industrial OS ซึ่งมีการติดตั้ง Node-RED มาในตัว ทั้งนี้อุปกรณ์เวอร์ชัน 4.3.4.1 ขึ้นไปได้รับการพอร์ตแพตช์เพื่อแก้ไขช่องโหว่ดังกล่าวแล้ว

จากข้อมูลของ Siemens ระบุว่า CVE-2026-58115 อาจช่วยให้ผู้โจมตีจากระยะไกลที่ไม่ได้รับการยืนยันตัวตน สามารถสร้าง flow ที่เป็นอันตรายและรันโค้ดตามอำเภอใจบนเซิร์ฟเวอร์พื้นฐานด้วยสิทธิ์สูงสุด ซึ่งสร้างความเสี่ยงต่อระบบอย่างมาก

เมื่อวันอาทิตย์ที่ผ่านมา VulnCheck ได้แจ้งเตือนว่าพบการใช้ประโยชน์จากช่องโหว่ในสถานการณ์จริงที่ประสบความสำเร็จเมื่อวันที่ 30 ตุลาคม โดยการโจมตีมาจาก IP ใน AS8075 ซึ่งเป็นเครือข่ายของ Microsoft และมีการส่ง exploit ที่สมบูรณ์เพื่อควบคุมระบบ

ผู้โจมตีได้ทำการติดตั้ง Node-RED flow และสั่งให้ทำงานโดยอัตโนมัติเพื่อดึงไฟล์ binary จากเซิร์ฟเวอร์ควบคุม (C2) โดยกระบวนการทั้งหมดมีการเข้ารหัสถึงสามชั้น Payload ที่พบเป็น Linux bot และจากการวิเคราะห์ชื่อไฟล์คาดว่าผู้โจมตีได้เตรียม payload ไว้รองรับสถาปัตยกรรมระบบที่หลากหลาย

ภายในวันที่ 1 พฤศจิกายน VulnCheck พบการโจมตีเพิ่มเติมอีก 15 ครั้งจาก IP address เดียวกัน โดยมีการส่งมัลแวร์เพิ่มเติมรวมถึง webshells แบบฝังตัว เพื่อช่วยให้แฮกเกอร์สามารถรันคำสั่งตามอำเภอใจบนเซิร์ฟเวอร์ที่ถูกบุกรุกได้ในระยะยาว

ผู้เชี่ยวชาญระบุว่า การโจมตีเหล่านี้แสดงให้เห็นว่าผู้ไม่หวังดีกำลังสแกนหา Node-RED instance ที่ไม่ได้เปิดใช้งาน adminAuth อย่างจริงจัง และสามารถเข้าถึงระบบได้โดยอัตโนมัติผ่าน HTTP request เพียงครั้งเดียว

สำหรับผู้ที่ใช้งาน Node-RED รวมถึงที่ฝังอยู่ในสภาพแวดล้อม ICS/OT ควรตรวจสอบทันทีว่าระบบสามารถเข้าถึงได้จากภายนอกเครือข่ายหรือไม่ พร้อมทั้งตรวจสอบ flow ที่ติดตั้งไว้เพื่อหา exec nodes หรือ HTTP endpoints ที่ผิดปกติ เนื่องจากผู้โจมตีอาจทิ้ง webshells ไว้ในระบบแทนการใช้ bot