Cybersécurité
Node-RED sans mot de passe : la faille Siemens IoT2050 notée 10/10 est exploitée
Node-RED, c’est ce petit outil open source qui permet de relier des capteurs, des automates et des API en dessinant des flux plutôt qu’en écrivant du code. Très pratique, et on le croise de plus en plus dans les passerelles et les petites supervisions. Seulement voilà : laissé sans mot de passe, c’est une console d’administration ouverte à tout Internet. Et une faille de ce type, notée 10 sur 10, est actuellement exploitée sur une passerelle industrielle de Siemens.
Les faits
- Le produit : la passerelle SIMATIC IoT2050 Advanced (référence 6ES7647-0BA00-1YA2), sous Industrial OS, quand Node-RED y est installé.
- La faille : CVE-2026-58115, publiée par Siemens le 11 août 2026 (avis SSA-834709), notée 10,0 en CVSS v3.1 et v4.0. L’interface HTTP de Node-RED n’impose aucune authentification : un attaquant distant peut créer ses propres flux et exécuter du code avec les privilèges les plus élevés.
- Le correctif : la version V4.3.4.1 ou ultérieure. À défaut, Siemens propose de désinstaller Node-RED ou de le durcir, et de protéger l’accès réseau à la passerelle.
- Ce qui est nouveau : VulnCheck a observé l’exploitation sur ses leurres à partir du 30 octobre 2026 et l’a décrite le 2 novembre ; The Hacker News l’a relayée le 3 novembre. Une même adresse IP a envoyé 16 tentatives en trois jours, dans ce qui ressemble à un balayage massif et opportuniste plutôt qu’à une attaque ciblée.
Ce que font les attaquants
Selon VulnCheck, deux méthodes coexistent. La première dépose un flux qui télécharge et lance un programme malveillant en mémoire, de type botnet. La seconde est plus sournoise : elle crée un flux qui expose une adresse web reliée à un nœud « exec », autrement dit une porte dérobée qui exécute les commandes reçues. Ce flux est enregistré dans la configuration de Node-RED. Il survit donc au redémarrage, même quand le programme en mémoire, lui, a disparu.
Pourquoi ça nous concerne, même sans IoT2050
Le produit touché est précis, mais le problème de fond ne l’est pas : c’est un Node-RED dont l’éditeur et l’API d’administration ne sont pas protégés. VulnCheck le dit d’ailleurs clairement : rien n’indique que la faille se limite à ce produit, et d’autres constructeurs embarquent Node-RED. Dans nos métiers, on le retrouve dans des passerelles Modbus ou MQTT, des remontées de comptage, des maquettes de supervision, des box domotiques… souvent installé « pour dépanner » et oublié ensuite. Et une passerelle compromise, c’est un pied dans le réseau technique : celui des automates de GTB, des caméras ou du contrôle d’accès, s’il n’est pas segmenté.
Ce que je ferais cette semaine
- Inventorier : rechercher les IoT2050 et, plus largement, toute instance Node-RED sur vos sites (le port 1880 par défaut est un bon indice).
- Mettre à jour les IoT2050 Advanced en V4.3.4.1 ou plus, ou désinstaller Node-RED s’il ne sert pas.
- Protéger l’administration partout : activer l’authentification de l’éditeur (le réglage adminAuth), le HTTPS, et protéger aussi les nœuds HTTP et le tableau de bord, comme le recommande la documentation de Node-RED.
- Fermer l’accès depuis Internet : pas de redirection de port vers une passerelle. Pour la télémaintenance, un accès distant maîtrisé, nominatif et journalisé.
- Relire les flux déployés : un nœud « exec » ou un point d’entrée HTTP que personne n’a créé doit vous alerter. Mettre à jour ne supprime pas une porte dérobée déjà installée.
- Bloquer et surveiller les adresses publiées par VulnCheck sur le pare-feu.
Mon avis
Ce qui me frappe, ce n’est pas la faille, c’est le délai : un correctif disponible depuis août, et une exploitation qui démarre fin octobre. Nos équipements techniques ne sont pas mis à jour comme des postes bureautiques, et les attaquants le savent. Node-RED est un excellent outil, je n’ai rien contre lui, à condition de le traiter pour ce qu’il est : un serveur capable d’exécuter des commandes sur l’équipement. Mot de passe, segmentation, inventaire : rien de révolutionnaire, mais c’est exactement ce qui manque quand ce genre d’alerte tombe.
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.