Invasores começaram a explorar uma vulnerabilidade crítica no Node-RED para implantar diversas cargas maliciosas, informa a empresa de inteligência em vulnerabilidades VulnCheck.
O Node-RED é uma ferramenta de programação de baixo código, baseada em fluxos, que permite criar aplicações orientadas a eventos por meio de um editor no navegador. Ele é usado em produtos de diversos setores, incluindo dispositivos comerciais de sistemas de controle industrial (ICS) e tecnologia operacional (OT).
Catalogada sob o identificador CVE-2026-58115 (sigla de Common Vulnerabilities and Exposures, ou Vulnerabilidades e Exposições Comuns), com pontuação CVSS (Sistema Comum de Pontuação de Vulnerabilidades) de 10/10, a falha é descrita como um problema de ausência de autenticação na interface HTTP (protocolo de transferência de hipertexto) do Node-RED. Ela poderia permitir que invasores acessassem nós de programação capazes de executar comandos do sistema.
A Siemens divulgou a falha em 11 de agosto, após identificá-la em seus dispositivos SIMATIC IoT2050 Advanced que executam o Industrial OS (sistema operacional industrial) com o Node-RED instalado. A versão 4.3.4.1 e as posteriores do SIMATIC IoT2050 Advanced contêm correções para a brecha.
Segundo a Siemens, a CVE-2026-58115 “poderia permitir que um invasor remoto não autenticado criasse fluxos maliciosos e executasse código arbitrário no servidor subjacente com privilégios máximos”.
No domingo, a VulnCheck alertou que havia observado a exploração bem-sucedida da vulnerabilidade em ataques reais no dia 30 de outubro. O ataque partiu de um endereço IP (protocolo de internet) da AS8075 (sistema autônomo), a rede da Microsoft, e entregou um exploit completo.
“Ele implantou um fluxo do Node-RED, acionou-o automaticamente e baixou um binário de um servidor controlado pelo invasor, tudo por trás de três camadas de codificação”, afirma a VulnCheck.
A carga maliciosa era um bot para Linux, e o comando de execução não verificava se a instalação havia sido concluída com sucesso. Com base no nome do arquivo, a empresa acredita que os invasores tenham preparado cargas para múltiplas arquiteturas.
Até 1º de novembro, a VulnCheck observou 15 ataques adicionais a partir do mesmo endereço IP, com cargas extras, incluindo webshells persistentes que permitiriam aos invasores executar comandos arbitrários nos servidores comprometidos.
Segundo a empresa, os ataques mostram que agentes de ameaça estão varrendo ativamente instâncias do Node-RED sem a configuração adminAuth e as explorando automaticamente com uma única requisição HTTP.
“Se você usa o Node-RED em qualquer lugar, inclusive embarcado no seu ambiente de ICS/OT, verifique hoje se ele pode ser acessado de fora da sua rede. Também revise os fluxos implantados em busca de nós exec ou endpoints HTTP inesperados, já que alguns invasores estão deixando webshells em vez de bots”, alerta a VulnCheck.
