Uma falha de segurança de gravidade máxima que afeta os dispositivos Siemens SIMATIC IoT2050 Advanced, da linha de Internet das Coisas (IoT), já está sendo explorada ativamente, conforme a VulnCheck revelou.
A vulnerabilidade, catalogada como CVE-2026-58115 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns) e com pontuação CVSS de 10,0 (Common Vulnerability Scoring System, ou Sistema de Pontuação de Vulnerabilidades Comuns), é um caso de falta de autenticação em uma função crítica que pode ser explorada por um invasor remoto não autenticado para executar código arbitrário.
“Os dispositivos SIMATIC IoT2050 Advanced que executam o Industrial OS (sistema operacional industrial) com o Node-RED instalado apresentam uma falha de falta de autenticação na interface HTTP (Protocolo de Transferência de Hipertexto) do Node-RED, que pode permitir que um invasor remoto não autenticado crie fluxos maliciosos e execute código arbitrário no servidor subjacente com privilégios máximos”, afirmou a Siemens em um alerta de segurança divulgado em agosto de 2026.
A falha foi corrigida nas versões 4.3.4.1 ou posteriores. Como medidas de mitigação, a Siemens recomenda que os usuários desinstalem o Node-RED ou reforcem a instalação seguindo os passos abaixo:
- Habilitar o acesso HTTPS (protocolo HTTP com camada de segurança)
- Proteger o editor e a API de administração por meio de autenticação baseada em credenciais ou de um provedor OAuth (protocolo de autorização) ou OpenID (protocolo de identidade)
- Proteger os nós HTTP e o Node-RED Dashboard com autenticação básica
Em 30 de outubro de 2026, a VulnCheck afirmou ter observado atacantes tentando explorar a CVE-2026-58115 contra sua rede de honeypots (armadilhas digitais, sistemas falsos usados para atrair e estudar invasores), com o objetivo de baixar e executar um bot para Linux.
“A requisição do atacante foi um exploit completo”, disse o pesquisador da VulnCheck Patrick Garrity. “Ele implantou um fluxo do Node-RED, acionou-o automaticamente e baixou um binário de um servidor controlado pelo atacante, tudo isso protegido por três camadas de codificação.”
Especificamente, o fluxo malicioso foi projetado para executar um script de shell (wrapper), que usa o wget (ferramenta de download via linha de comando) para obter o binário da botnet (rede de bots) para a arquitetura AMD64 a partir de 85.215.73[.]250. O curl (outra ferramenta de transferência de dados via linha de comando) é usado como alternativa caso a tentativa com wget falhe. Na etapa final, o binário é salvo como “/dev/shm/.b” e executado.
Desde então, os atacantes por trás da campanha passaram a usar um processo em duas etapas, no qual o wget é usado para obter outro script de shell (“wget.sh”) do mesmo servidor.
Outra requisição foi identificada executando wget ou curl contra “45.194.90[.]57:38472” para baixar um payload chamado “.sys_update”, salvá-lo no disco como “/tmp/.kworker”, na tentativa de disfarçá-lo de uma thread de trabalho inofensiva do kernel, e então executá-lo. A funcionalidade exata de “wget.sh” ou de “.kworker” permanece desconhecida, já que não foi possível recuperá-los.
“Várias requisições não implantaram nenhum downloader. Em vez disso, o fluxo expõe um endpoint HTTP in (por exemplo, /cmd, ou um caminho com nome aleatório) conectado por meio de um nó de função a um nó exec com a opção addpay habilitada, para que o atacante pudesse executar comandos arbitrários depois, passando-os em um parâmetro de consulta”, disse Garrity. “Esse backdoor sobrevive mesmo que um implante em memória seja perdido em uma reinicialização.”
