Automatisation industrielle : la faille Node-RED des passerelles Siemens IoT2050 est exploitée pour installer des logiciels malveillants

Le 2 novembre, la société de veille VulnCheck a indiqué que ses serveurs-appâts ont enregistré, du 30 octobre au 1er novembre, des attaques automatisées exploitant la faille CVE-2026-58115 de Node-RED, un outil d’automatisation par briques graphiques intégré dans des passerelles industrielles comme la SIMATIC IoT2050 Advanced de Siemens et très répandu pour relier capteurs, machines, bâtiments et logiciels de gestion. Lorsque l’interface d’administration de Node-RED est accessible sans mot de passe, une seule requête suffit pour y déposer un « flux » qui s’exécute tout seul et lance des commandes système : les attaquants s’en servent pour télécharger un programme Linux dont la fonction n’a pas encore été identifiée et, dans certains cas, pour laisser une porte dérobée (un point d’accès caché qui leur permet de revenir) qui survit au redémarrage de l’appareil. Siemens avait publié son avis le 11 août, avec la note de gravité maximale de 10 sur 10, et propose un correctif, la version 4.3.4.1 de son Industrial OS, ou à défaut la désinstallation de Node-RED ou son durcissement avec authentification ; VulnCheck précise que la même adresse d’attaque balaye en masse huit failles différentes, ce qui indique une campagne opportuniste qui touchera d’abord les installations exposées sur internet, pas une attaque ciblée. Ce que cela change pour vous : si votre atelier, votre bâtiment ou votre intégrateur utilise Node-RED ou des passerelles IoT2050, demandez-lui cette semaine si l’interface d’administration est joignable depuis internet, si l’authentification (réglage « adminAuth ») est activée et si la mise à jour 4.3.4.1 est installée, et faites passer en revue les flux déployés à la recherche de nœuds « exec » ou de points d’accès HTTP que personne ne reconnaît.