Según VulnCheck, se está explotando activamente una vulnerabilidad crítica en dispositivos Siemens SIMATIC IoT2050 Advanced. Registrada como CVE-2026-58115 y con una puntuación CVSS de 10,0, la vulnerabilidad se debe a la falta de autenticación en una función crítica y podría permitir que un atacante remoto ejecute código sin iniciar sesión.
Siemens afirmó que la vulnerabilidad afecta a los dispositivos que ejecutan Industrial OS con Node-RED instalado. La interfaz HTTP de Node-RED, que no requiere autenticación, podría utilizarse para crear flujos maliciosos y ejecutar código en el servidor subyacente con privilegios máximos.
El problema se corrigió en la versión 4.3.4.1 y posteriores. Siemens recomienda a los usuarios desinstalar Node-RED o protegerlo habilitando HTTPS, protegiendo el editor y la API de administración con credenciales o mediante un proveedor OAuth/OpenID, y habilitando la autenticación básica para los nodos HTTP y el panel de Node-RED.
VulnCheck informó que el 30 de octubre de 2026 detectó intentos de explotar la vulnerabilidad contra su red de honeypots y de descargar y ejecutar un bot para Linux. El investigador Patrick Garrity describió una de las solicitudes como un exploit completo: creó y activó automáticamente un flujo de Node-RED y luego descargó un binario desde un servidor controlado por el atacante. El proceso utilizó tres capas de codificación.
En ese ataque, el flujo ejecutó un envoltorio de script de shell que utilizó wget para obtener un binario de botnet AMD64 desde 85.215.73[.]250, con curl como alternativa. El binario se guardó como /dev/shm/.b y se ejecutó. Más adelante, los atacantes pasaron a un método de dos etapas, en el que usaron wget para obtener otro script de shell, llamado wget.sh, desde el mismo servidor.
VulnCheck también identificó una solicitud que utilizó wget o curl para obtener una carga útil llamada .sys_update desde 45.194.90[.]57:38472. Se configuró para guardarla como /tmp/.kworker, un nombre pensado para parecerse al de un proceso de trabajo del kernel, y luego ejecutarla. Los investigadores no pudieron obtener wget.sh ni .kworker, por lo que se desconoce su función precisa.
Algunas solicitudes no incluían un descargador. En su lugar, configuraban un endpoint HTTP de Node-RED conectado a un nodo de función y a uno de ejecución, lo que permitía al atacante emitir comandos mediante un parámetro de consulta. Garrity afirmó que esta puerta trasera podría permanecer activa incluso si un implante basado en memoria se pierde tras un reinicio.
Fuentes: The Hacker News.