一次 HTTP 请求就能执行命令：上海工厂的边缘网关，先查这三处

结论先行：11 月 1 日，安全公司 VulnCheck 披露一个已被在野利用的 Node-RED（一款流程编排引擎）未认证接口漏洞，编号 CVE-2026-58115，CVSS 评分 10.0。攻击者只要向内网可达的 1880 端口发一个 POST 请求，就能让设备执行任意系统命令。这类流程引擎大量内嵌在工业网关和边缘盒子里，是工厂做设备联网时最容易漏在资产台账外的一层。

这几年上海制造企业做设备联网、能耗监测、产线看板，路径几乎一样：集成商在车间交换机和云端平台之间放一台边缘网关，上面跑着流程引擎，把 PLC、仪表、传感器的数据转成消息或接口调用往上送。设备装完就没人再提它——直到它成为入口。

这件事的经过

10 月 30 日，VulnCheck 的蜜罐捕获到一次完整的利用：请求来自微软地址段的一个 IP，一个 POST /flows，请求体里是一段流程定义，三个节点——一个空的标签页、一个设置为"部署后 1 秒触发一次"的 inject 节点、一个接到它上面的 exec 节点。exec 节点的命令，是把一段 base64 解码后交给 shell 执行。

解码出来是投放器：先 wget 下载，失败回退 curl；二进制落到 /dev/shm/.b，那是内存文件系统，不写盘、普通 ls 看不见；再用 setsid 起一个脱离的会话，网关主进程退出它还在跑。

11 月 1 日的更新里，同一个 IP 又打出几种变体：改为拉取暂存脚本、换一个载荷服务器（文件名伪装成 .kworker，模仿内核工作线程），以及最需要警惕的一种——不下载任何东西，直接部署一个 http in 端点接 exec 节点的流程，等于在设备上开了个命令行后门，重启也还在。

这个漏洞由西门子分配编号，影响 SIMATIC IoT2050 Advance（修复版本 Industrial OS V4.3.4.1，对 Web 界面强制启用认证）；Emerson 的文档也提到产品中使用该流程引擎。VulnCheck 已把它列入自家 KEV 目录，CISA 的 KEV 暂未收录。

为什么偏偏是这一层

四个原因，按现场出现频率排。

一、它不在 IT 的资产台账里。 网关是集成商装的，型号、系统版本、装了哪些节点包、谁有登录口令，往往只存在集成商的项目文档里。做资产盘点时按"服务器、网络设备、终端"三类扫，边缘网关最容易整批漏掉。

二、默认配置就是空门。 流程引擎不在配置文件里启用管理认证，就接受任意远程客户端改流程——而改流程这件事本身就能执行系统命令。很多现场为了"先跑通"，认证是留到以后再说的那一项。

三、网络位置放错了。 为了让集成商远程调试，1880 端口被映射到公网；或者网关在车间内网但允许主动访问外网——攻击者不需要进来，设备会自己出去把载荷拉回来，上面那条下载命令走的就是这条路。

四、出了事看不出来。 流程就是代码，但它的改动不像代码提交那样留痕；载荷落在内存盘，设备一重启证据就没了；流量是设备主动往外发的 8080 端口请求，多数边界策略默认放行。

图1：一次 POST 请求到设备执行命令，中间只隔三个节点

三种暴露形态，对应三种处置成本

三行不是三选一，是三种现状。多数上海工厂的现场在第二行——比第一行安全，但这次利用并不要求攻击者先进来。

今天可以先做的，是确认自己落在哪一行。这个判断不需要等补丁，只需要一次外部视角的端口扫描和一份网关清单。

处置四步，顺序不能反

第一步，从外面扫自己一遍。 用外部视角扫公网 IP 的 1880 和自定义端口，不要用内网扫描代替。产出是一张"哪些网关在公网上"的清单，通常比预期多。

第二步，把认证打开。 在配置文件里启用管理认证，改掉默认凭据；管理端口只允许运维网段访问，远程调试走 VPN 或跳板机，不留长期直连映射。

第三步，查流程，不是查日志。 逐个实例看已部署的流程：有没有 exec 节点、有没有来源不明的 http in 端点、端点路径是不是随机字符串。这一步不需要日志，流程本身就在那里。

第四步，怀疑过就重建。 内存盘的载荷重启即消失，但后门型流程不会——它就在配置里。对确认被利用过的设备，删流程不如重装系统再导回业务配置；顺序反了，等于把后门留在原地。

图2：四步处置的顺序，第三步的关键是查流程而不是查日志

威丽能承接的部分

上海威丽信息科技有限公司是上海本地化企业 IT 运维与系统集成服务商。在工厂数据采集这一层，可承接：边缘网关与工业设备的资产台账建立（型号、系统版本、节点包、责任人）、暴露面核验与端口收口、管理面访问路径改造、车间网段与办公网分区、出口流量白名单、设备与流程变更记录、以及常态化巡检。服务以 10 分钟极速响应 / 2 小时现场服务 为标准，覆盖上海全域。

三个常见误区

• "网关不联网，没事"：只要它允许主动出网，攻击链就能走通，不需要入站可达。
• "换个新型号就安全"：问题在配置与网络位置，不在硬件新旧。做过认证收口的旧设备，风险低于新买的默认配置。
• "这是集成商的事"：集成商交付功能，长期运维责任在业主。设备在谁的网里，谁就要能查到它。

常见问题

问：我们没装过这个软件，需要关心吗？

答：需要确认而不是假设。它常以内嵌形式出现在工业网关、边缘计算盒子、部分能源与楼宇产品的管理界面里，产品手册不一定出现这个名字。

问：认证打开以后，集成商远程调试怎么办？

答：改成"申请—开通—关闭"的临时通道，走 VPN 或跳板机并留记录。这比长期开着公网映射更省事，也更容易在审计时说清楚。

问：车间不能停线，改造要多久？

答：资产盘点和端口收口通常不占停机窗口；认证与网络位置改造按设备分批做，单台在夜间维护窗口内可完成。

结语

这次事件里，攻击者的手法谈不上精巧：不隐藏、不清理，一个请求打完就走。它依赖的不是技术，是"这台设备没人管"这个事实。对工厂来说，要补的不是某个补丁，是让这一类设备进入台账、进入变更流程、进入监控视野。

上海威丽信息科技有限公司 · 深耕上海本地企业 IT 服务近 20 年 · 累计服务 2500+ 家企业 · 服务热线 400-880-7581 · 技术热线 021-51697581-605/610 · 官网 https://www.vilitech.com

数据来源

• VulnCheck 2026 年 11 月 1 日《Exploitation Targeting Node-RED, a Tool Embedded in ICS Products》：https://www.vulncheck.com/blog/exploitation-targeting-node-red
• 西门子 SIMATIC IoT2050 Advance 安全公告（CVE-2026-58115）及 Industrial OS V4.3.4.1 修复说明
• Node-RED 官方文档，settings.js 管理认证配置项：https://nodered.org/docs/user-guide/runtime/securing-node-red