Perusahaan intelijen kerentanan VulnCheck melaporkan bahwa CVE-2026-58115, celah di API admin Node-RED yang bisa dijangkau tanpa login, sudah dipakai penyerang di dunia nyata. Serangan pertama yang tertangkap sistem pancing (canary) VulnCheck terjadi pada 30 Oktober 2026. Skor keparahannya mencapai 10,0, nilai maksimum.
Apa yang terjadi
Node-RED adalah alat pemrograman berbasis alur yang banyak ditanam di perangkat IoT dan produk sistem kontrol industri. Menurut VulnCheck, penyerang memakai celah ini untuk mendeploy sebuah alur (flow) lewat API admin, lalu alur itu mengunduh dan menjalankan berkas biner Linux dari server milik penyerang. Dari 30 Oktober sampai 1 November, VulnCheck mencatat 16 kejadian terhadap celah ini dari satu alamat IP yang berada di jaringan Microsoft. VulnCheck menduga IP itu milik mesin virtual yang disewa atau dibobol, bukan infrastruktur asli pelaku.
Aktivitas berikutnya makin beragam. VulnCheck melihat varian yang mengambil skrip bertahap dari server lain, dan sebagian penyerang meninggalkan endpoint ala webshell yang memberi akses jarak jauh. Itu berarti memasang tambalan saja belum menghapus akses yang sudah tertanam. Pelakunya belum teridentifikasi.
Siemens menerbitkan advisori untuk CVE ini pada 11 Agustus 2026. Menurut laporan SecurityPointBreak yang merujuk advisori SSA-834709, produk yang disebut terdampak adalah Siemens IoT2050 Advanced dengan Node-RED terpasang, pada firmware sebelum V4.3.4.1, dan perbaikannya ada di V4.3.4.1. Versi Node-RED di luar produk Siemens tidak disebut dalam laporan VulnCheck, jadi pembaca sebaiknya memeriksa advisori Siemens langsung. Per laporan CSO Online, celah ini belum masuk katalog KEV milik CISA.
Langkah yang perlu diambil
Pertama, periksa apakah antarmuka admin Node-RED di jaringan Anda bisa dijangkau dari internet, termasuk yang tertanam di lingkungan ICS dan OT. Kedua, pasang pembaruan dari vendor; pengguna IoT2050 Advanced perlu naik ke firmware V4.3.4.1. Ketiga, aktifkan autentikasi admin (adminAuth) pada instans yang terbuka, dan ingat bahwa menurut SecurityPointBreak, pada perangkat IoT2050 yang terdampak, pengaturan itu belum cukup melindungi sebelum firmware diperbarui.
Keempat, telaah alur yang sudah terpasang. Cari node exec yang tidak Anda buat dan endpoint HTTP yang tidak dikenal, lalu cari tanda persistensi seperti webshell. Bila ada indikasi, anggap perangkat sudah dibobol, isolasi dari jaringan, dan ganti kredensial yang pernah tersimpan di sana. Indikator serangan lengkap tersedia di laporan VulnCheck.
Bagi pengembang Node.js, ini pengingat bahwa panel admin yang tertanam di produk sering dilupakan saat audit. Celah lain di ekosistem Node.js, yaitu Brotli, sudah kami bahas di artikel tentang Node2Shell dan daftar KEV CISA. Cek juga perangkat gateway dan PLC di pabrik atau gedung milik perusahaan Anda, karena banyak yang tidak pernah masuk inventaris TI.
Sumber: VulnCheck, CSO Online, Techzine. Gambar: CSO Online.