Node-RED ohne Anmeldung: Angreifer spielen Flows mit Linux-Bot und Webshell ein

Angreifer nutzen Node-RED-Installationen ohne Anmeldeschutz aus, um mit einer einzigen HTTP-Anfrage eigene Flows einzuspielen und Schadsoftware zu starten. Das Sicherheitsunternehmen VulnCheck hat am 2. November 2026 beschrieben, wie seine Köder-Systeme ab dem 30. Oktober Angriffe auf die Lücke CVE-2026-58115 registrierten, darunter Downloader für einen Linux-Bot und dauerhafte Webshells.

Die CVE stammt von Siemens und betrifft dort das Industrie-Gateway SIMATIC IoT2050 Advanced. Der Angriffsweg passt aber auf jede Node-RED-Instanz, deren Editor und Admin-API ohne adminAuth aus dem Netz erreichbar sind, also auch auf Raspberry Pi, NAS und Smart-Home-Server. Wer Node-RED offen betreibt, sollte das heute prüfen. Instanzen mit aktivierter Anmeldung, die nur im internen Netz erreichbar sind, lassen sich auf diesem Weg nicht ohne Weiteres übernehmen.

Was ist passiert?

Siemens hat die Lücke am 11. August 2026 im Advisory SSA-834709 veröffentlicht. Auf dem SIMATIC IoT2050 Advanced mit Industrial OS und installiertem Node-RED erzwingt die HTTP-Schnittstelle keine Anmeldung. Ein Angreifer ohne Zugangsdaten kann darüber Flows anlegen und laut Siemens beliebigen Code mit höchsten Rechten auf dem Gerät ausführen. Behoben ist das ab Version V4.3.4.1.

VulnCheck beobachtete am 30. Oktober einen vollständigen Angriff: Eine einzelne Anfrage an POST /flows spielte einen Flow aus einem Inject- und einem Exec-Knoten ein, der sofort startete und über einen Base64-kodierten Befehl ein Programm namens bot-linux-amd64 nachlud. Bis zum 1. November zählte das Unternehmen 16 Angriffe derselben IP-Adresse aus dem Netz von Microsoft, mit weiteren Varianten. Einige Flows legten statt eines Downloaders einen HTTP-Endpunkt wie /cmd an, über den sich später beliebige Befehle ausführen lassen. Die nachgeladenen Programme hat VulnCheck nicht untersucht.

Wer ist betroffen?

Direkt betroffen ist laut Siemens das SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) in allen Versionen vor V4.3.4.1, wenn darauf Industrial OS mit installiertem Node-RED läuft. VulnCheck weist darauf hin, dass Node-RED auch in Produkten anderer Hersteller steckt, etwa bei Emerson, hat deren Betroffenheit aber nicht geprüft. Für Selfhoster und Smart-Home-Betreiber gilt: Entscheidend ist die Konfiguration. Ein Node-RED, das ohne adminAuth im Internet hängt, lässt sich auf genau diesem Weg übernehmen, egal auf welcher Hardware.

Wie kritisch ist das?

Siemens bewertet CVE-2026-58115 mit CVSS 10.0 in Version 3.1 und 4.0. Der Angriffspfad ist eine Codeausführung aus der Ferne ohne Anmeldung, die Ausnutzung ist laut VulnCheck belegt und automatisiert, beobachtet bisher von einer Quell-IP gegen Köder-Systeme. VulnCheck führt die Lücke im eigenen KEV-Katalog, im KEV-Katalog der US-Behörde CISA stand sie bei Veröffentlichung des Berichts nicht. Aus unserer Sicht hängt der Schaden außerhalb des IoT2050, auf dem Siemens höchste Rechte nennt, davon ab, unter welchem Benutzer Node-RED läuft und was auf dem Host erreichbar ist.

Was sollten Admins jetzt tun?

• Inventar: alle Node-RED-Instanzen erfassen, auch eingebettete in Gateways, Steuerungen und NAS-Containern.
• Erreichbarkeit: prüfen, ob Port 1880 oder der Editor über Portfreigaben, Reverse Proxy oder Cloud-IP von außen erreichbar ist, und das schließen.
• Anmeldung: adminAuth in der Einstellungsdatei (meist settings.js) aktivieren, der Node-RED-Leitfaden zur Absicherung beschreibt das.
• Siemens-Geräte: IoT2050 Advanced auf V4.3.4.1 oder neuer bringen oder Node-RED dort deinstallieren.
• Spuren: laufende Flows auf unbekannte Exec-Knoten und HTTP-Endpunkte prüfen, Dateien wie /dev/shm/.b, /tmp/.s und /tmp/.kworker suchen.
• Netz: Verbindungen zu den von VulnCheck veröffentlichten Adressen in Firewall- und Proxy-Logs suchen.

Einordnung für Unternehmen

Die Lücke ist weniger ein Programmierfehler als eine gefährliche Grundeinstellung: Node-RED ist ein Werkzeug, das Befehle ausführen soll, und ohne Anmeldung kann das jeder. In KMU taucht es oft nebenbei auf, als Automatisierung für Gebäudetechnik, Messwerte oder Benachrichtigungen. Aus unserer Sicht gehört es deshalb in dieselbe Liste wie Verwaltungsoberflächen von Routern und Firewalls: nie direkt ins Internet, Zugriff nur über VPN oder einen Proxy mit eigener Anmeldung.

Passende Anleitungen auf S-EDV

• Node-RED 5 auf dem Synology NAS installieren: Automatisierung per Flow-Editor
• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi
• WireGuard-VPN für Homeoffice und Standortvernetzung einrichten

Quellen

• Siemens ProductCERT: SSA-834709 zu Node-RED auf SIMATIC IoT2050 Advanced
• VulnCheck: Analyse der Angriffe auf Node-RED
• SecurityWeek: Bericht zur Ausnutzung der Node-RED-Lücke
• Node-RED: Leitfaden zur Absicherung des Editors