🗓️ Contexte

Source : The Register, publié le 2 novembre 2026. L’information est basée sur un advisory publié par VulnCheck (chercheur Patrick Garrity) le même jour, faisant suite à la détection d’une exploitation active observée à partir du 30 octobre 2026.

🔍 Vulnérabilité exploitée

CVE-2026-58115 est une vulnérabilité de sévérité maximale (CVSS 10/10) affectant Node-RED, un outil de programmation par flux largement utilisé dans les environnements ICS/OT. La faille réside dans l’absence d’authentification sur l’interface HTTP de Node-RED dans les équipements Siemens SIMATIC IoT2050, permettant à un attaquant non authentifié d’accéder à distance aux nœuds de programmation et d’exécuter des commandes système.

L’exploitation est décrite comme triviale : deux nœuds natifs de Node-RED suffisent :

  • Un nœud inject (déclenchement au démarrage ou sur schedule)
  • Un nœud exec (exécution de commandes shell)

Le simple câblage de ces deux nœuds permet l’exécution immédiate de commandes dès le déploiement du flux, sans interaction supplémentaire.

🎯 Activité malveillante observée

  • Première détection : 30 octobre 2026, via un canary VulnCheck
  • IP source : 4.201.105.116 (réseau Microsoft AS8075, géolocalisation Brésil)
  • L’attaquant a envoyé l’exploit complet, le flux et le dropper en un seul POST /flows
  • Entre le 30 octobre et le 1er novembre 2026 : 16 tentatives sur la même vulnérabilité Node-RED, et 125 hits sur 8 CVE différents dans le réseau canary élargi
  • Un payload alternatif pointait vers un serveur de téléchargement distinct : 85.215.73.250

🦠 Malware déployé

  • Nom de fichier : bot-linux-amd64
  • Cible : systèmes Linux sur architecture AMD64
  • Le binaire n’a pas été récupéré ni analysé ; son comportement post-exécution est inconnu
  • La nomenclature suggère l’existence potentielle d’autres builds pour d’autres architectures

🌐 Ciblage opportuniste

L’activité couvre plusieurs CVE sans lien entre eux, dont :

  • CVE-2019-17558 (Apache Solr, 7 ans d’ancienneté)
  • Produits ciblés : Camunda, Gitea, MLflow, Traefik, Joomla, Node-RED

Ce profil indique un scan de masse opportuniste plutôt qu’une attaque ciblée. L’infrastructure semble organisée en mode scan-and-infect : un hôte exploite, un serveur dédié héberge l’implant.

📌 Statut de la vulnérabilité

  • Ajoutée au KEV de VulnCheck
  • Absente du KEV CISA au moment de la publication

📰 Type d’article

Article de presse spécialisée relayant un advisory de threat intelligence (VulnCheck), documentant une exploitation active en cours avec des IoCs publiés et une analyse technique partielle.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1105 — Ingress Tool Transfer (Command and Control)
  • T1046 — Network Service Discovery (Discovery)
  • T1595.002 — Active Scanning: Vulnerability Scanning (Reconnaissance)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • bot-linux-amd64 (botnet)

🟢 Indice de vérification factuelle : 83/100 (haute)

  • ✅ theregister.com — source reconnue (liste interne) (20pts)
  • ✅ 4747 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 5 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 1/2 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 85.215.73.250 (ip) → AbuseIPDB (100% confiance, 357 signalements) + VT (19/92 détections)

🔗 Source originale : https://www.theregister.com/security/2026/11/02/max-severity-bug-in-widely-used-ot-programming-tool-exploited-to-deliver-linux-malware/5307086