Une faille de Node-RED, l’outil de programmation par flux installé sur de nombreuses passerelles industrielles, est exploitée depuis la fin octobre. Pour un automaticien, la priorité n’est pas d’abord d’appliquer un correctif, mais de savoir où cet outil tourne et s’il répond depuis l’extérieur du réseau.
- La faille CVE-2026-58115 a reçu la note maximale de 10.0 de la part de Siemens.
- Elle touche notamment la passerelle SIMATIC IoT2050 Advanced en versions antérieures à V4.3.4.1.
- Une première exploitation a été observée le 30 octobre par VulnCheck.
- Les instances sans authentification sont trouvées automatiquement.
Plan de l'article
Une interface d’administration ouverte par défaut #
Node-RED permet de relier capteurs, automates et services informatiques en assemblant des blocs graphiques. IT for Business rappelle que, dans sa configuration d’origine, l’outil ouvre son API d’administration sans mot de passe : c’est à l’intégrateur d’activer l’authentification.
Sur la passerelle de Siemens, cette interface n’exigeait aucune authentification. L’avis de sécurité SSA-834709, publié en août, concerne les appareils sous Industrial OS équipés de Node-RED. Selon la description reprise par Help Net Security, un attaquant distant non authentifié peut créer des flux malveillants et exécuter du code sur le serveur avec les privilèges maximaux.
Le correctif existait donc depuis plusieurs semaines lorsque les attaques ont été détectées. Cet écart est classique en environnement industriel, où une mise à jour de passerelle attend souvent un arrêt programmé.
Comment l’attaque fonctionne-t-elle ? #
La mécanique est simple, et c’est ce qui la rend préoccupante. D’après VulnCheck, une seule requête HTTP déploie un flux qui associe un nœud inject à un nœud exec : le premier se déclenche tout seul, le second lance une commande système.
Aucun code exotique n’est nécessaire, puisque l’attaque se sert de deux blocs natifs que tout développeur Node-RED connaît. La commande télécharge ensuite un programme pour Linux depuis un serveur contrôlé par l’attaquant.
VulnCheck n’a pas pu récupérer ce programme, dont la finalité reste inconnue. Il disparaît au redémarrage, à la différence des webshells déposés par d’autres requêtes, qui donnent un accès persistant et restent inscrits dans la configuration.
À lire MG Tech devient propriétaire de son usine de Saint-Aubin-du-Cormier
Un balayage opportuniste, pas une attaque ciblée #
La même adresse source a tenté d’exploiter la faille 16 fois entre le 30 octobre et le 1er novembre, et a essayé d’autres vulnérabilités sur des produits sans rapport avec l’industrie. VulnCheck parle d’un scan de masse.
Le constat a son importance pour une PME. Une passerelle n’a pas besoin d’intéresser quelqu’un en particulier pour être compromise : il lui suffit d’être joignable et de ne pas demander de mot de passe.
IT for Business souligne que des équipements d’atelier sont parfois connectés directement à Internet pour faciliter la maintenance à distance. C’est précisément ce cas de figure, pratique au quotidien, qui expose le plus.
Quels équipements faut-il inventorier ? #
La difficulté tient à la discrétion de l’outil. Node-RED peut être embarqué dans une passerelle sans figurer clairement dans l’inventaire de l’atelier, ou avoir été installé par un intégrateur pour un besoin ponctuel.
À lire Robots industriels : la France en a installé moins en 2025, selon l’IFR
IT for Business cite Schneider Electric, ABB, Bosch Rexroth, Rockwell Automation, WAGO et Phoenix Contact parmi les fournisseurs qui utilisent Node-RED ou autorisent son déploiement, tout en précisant qu’on ignore si leurs produits sont concernés. La présence de ces noms n’établit donc aucune vulnérabilité : elle indique seulement où poser la question au constructeur.
Les vérifications à mener dans l’atelier #
Les recommandations convergent. Il faut d’abord repérer toutes les instances, y compris celles qui sont intégrées aux équipements, puis vérifier qu’aucune n’est accessible directement depuis Internet.
Vient ensuite l’activation de l’authentification, via le paramètre adminAuth pour les installations gérées à la main. VulnCheck indique que les instances qui en sont dépourvues sont trouvées et exploitées automatiquement. Les correctifs des constructeurs complètent le dispositif.
Corriger ne suffit pas si la passerelle a déjà été visitée. L’examen des flux doit rechercher les nœuds d’exécution inattendus, les webshells doivent être traqués et les identifiants stockés dans les flux renouvelés. Comme le résume l’analyste Frank Dickson, cité par IT for Business : « Le correctif ferme la porte, il n’expulse pas ceux qui sont déjà entrés ».
À lire Distributeurs pneumatiques 3/2, 5/2, 5/3 : quelles différences ?
À plus long terme, cette affaire plaide pour une règle simple de conception : une passerelle d’atelier ne devrait être joignable qu’à travers un accès distant maîtrisé, et jamais parce qu’un port a été ouvert le temps d’un dépannage.
Questions fréquentes #
Quelle version corrige la faille sur la passerelle Siemens ?
Selon Help Net Security, les appareils sous Industrial OS avec Node-RED sont concernés en versions antérieures à V4.3.4.1, version de référence indiquée par l’avis de Siemens.
Pourquoi les instances sans mot de passe sont-elles particulièrement exposées ?
VulnCheck indique que les installations sans authentification adminAuth sont trouvées et exploitées automatiquement par des scans de masse.
Faut-il inquiéter tous les automates utilisant Node-RED ?
Non, il faut vérifier produit par produit. IT for Business indique qu’on ignore si les produits d’autres constructeurs utilisant Node-RED sont concernés, d’où l’intérêt de consulter chaque fournisseur.
