Die Lücke betrifft Geräte, auf denen das Industrial OS mit installiertem Node-RED läuft. Siemens beschrieb den Fehler in einem Sicherheitshinweis vom August 2026 als fehlende Authentifizierung in der HTTP-Schnittstelle von Node-RED: Ein nicht authentifizierter entfernter Angreifer könne darüber bösartige Flows anlegen und beliebigen Code mit maximalen Rechten auf dem darunterliegenden Server ausführen.

Behoben ist das Problem in Version 4.3.4.1 oder neuer. Als Gegenmaßnahmen empfiehlt Siemens, Node-RED zu deinstallieren oder die Installation zu härten:

  • HTTPS-Zugriff aktivieren
  • Editor und Admin-API über Zugangsdaten oder einen OAuth-/OpenID-Anbieter absichern
  • HTTP-Nodes und das Node-RED-Dashboard per Basic Authentication schützen

“Die Anfrage des Angreifers war ein vollständiger Exploit”, sagte VulnCheck-Forscher Patrick Garrity. “Sie brachte einen Node-RED-Flow aus, löste ihn automatisch aus und holte eine Binärdatei von einem vom Angreifer kontrollierten Server – alles hinter drei Kodierungsschichten.”

Der bösartige Flow startet demnach einen Shell-Skript-Wrapper, der die Botnet-Binärdatei für die AMD64-Architektur per wget von 85.215.73[.]250 herunterlädt; schlägt wget fehl, dient curl als Rückfallebene. Die Datei wird als “/dev/shm/.b” abgelegt und ausgeführt.

Inzwischen sind die Angreifer auf ein zweistufiges Vorgehen umgeschwenkt: wget lädt zunächst ein weiteres Shell-Skript namens “wget.sh” vom selben Server nach. Bei einer anderen Anfrage wurden wget beziehungsweise curl gegen “45.194.90[.]57:38472” eingesetzt, um eine Nutzlast namens “.sys_update” zu holen, sie als “/tmp/.kworker” zu speichern – offenbar, um sie als harmlosen Kernel-Worker-Thread zu tarnen – und auszuführen. Was “wget.sh” und “.kworker” genau tun, ist unbekannt, da sich beide Dateien nicht beschaffen ließen.

Bei mehreren Anfragen wurde überhaupt kein Downloader ausgebracht. “Stattdessen stellt der Flow einen HTTP-in-Endpunkt bereit – etwa /cmd oder einen zufällig benannten Pfad –, der über einen Function-Node an einen Exec-Node mit aktiviertem addpay angebunden ist, sodass der Angreifer später beliebige Befehle über einen Query-Parameter übergeben kann”, so Garrity. “Diese Hintertür überlebt auch dann, wenn ein im Speicher gehaltenes Implantat beim Neustart verloren geht.”