要点
- VulnCheck 诱捕节点捕获到 CVE-2026-58115 的首次在野利用——一个未授权的 Node-RED 管理员 API 缺陷，可远程访问能执行系统命令的编程节点。
- 该请求来自微软 ASN（AS8075）内一个 IP，部署了一个下载并运行 Linux 僵尸的流（flow）；VulnCheck 于 2026-10-30 记录，此后同一来源共 16 起事件、多种载荷。
- 漏洞由 Siemens 分配 CVE，影响 SIMATIC IoT2050 Advance，使脆弱软件进入商用 ICS/OT 硬件；CVSS 评分为 10 分（HTTP 接口缺失认证）。
- 攻击无需自定义代码，仅用两个内置节点：inject 节点按计划/启动触发消息，exec 节点运行 shell 命令；串联后一次 HTTP 请求即可完整攻陷。
- 观测到的请求是完整链：部署流→自动触发→从攻击者服务器拉取 Linux 二进制，且经过三层编码；诱捕以 HTTP 200 与新 flow 修订哈希回应，被记为成功利用而非探测。
- VulnCheck 10-27 发布检测规则，3 天后捕获在野尝试，并将该 CVE 列入自有 KEV 目录（尚未进入 CISA KEV）。攻击者除 base64 与隐藏 RAM 文件外无隐蔽动作，靠'量'而非'巧'。
影响
- Node-RED 广泛部署于制造、公用事业、家居与工业自动化（含树莓派与云），未启用 adminAuth 的实例正被扫描；ICS/OT 环境内置脆弱软件扩大攻击面。
- 建议立即核查外部可达性并审计已部署流中异常的 exec 节点或 HTTP 端点，部分攻击者留下 webshell 而非僵尸；这是 IoT 可视化编排工具供应链安全的重要警示。