Uma vulnerabilidade crítica em dispositivos Siemens SIMATIC IoT2050 Advanced está sendo explorada ativamente, de acordo com a VulnCheck. Rastreada como CVE-2026-58115 e com pontuação CVSS de 10,0, a falha decorre da ausência de autenticação em uma função crítica e pode permitir que um atacante remoto execute código sem fazer login.
A Siemens informou que a vulnerabilidade afeta dispositivos com Industrial OS e Node-RED instalados. A interface HTTP do Node-RED sem autenticação poderia ser usada para criar fluxos maliciosos e executar código no servidor subjacente com privilégios máximos.
O problema foi corrigido na versão 4.3.4.1 e nas posteriores. A Siemens recomenda que os usuários desinstalem o Node-RED ou o protejam ativando HTTPS, protegendo o editor e a API de administração com credenciais ou com um provedor OAuth/OpenID e ativando a autenticação básica para os nós HTTP e o Dashboard do Node-RED.
A VulnCheck informou que, em 30 de outubro de 2026, detectou tentativas de explorar a falha contra sua rede de honeypots e de baixar e executar um bot para Linux. O pesquisador Patrick Garrity descreveu uma das solicitações como uma exploração completa: ela criou e acionou automaticamente um fluxo do Node-RED e, em seguida, baixou um binário de um servidor controlado pelo atacante. O processo usou três camadas de codificação.
Nesse ataque, o fluxo executou um script de shell que usava wget para buscar um binário de botnet AMD64 em 85.215.73[.]250, com curl como alternativa. O binário foi salvo como /dev/shm/.b e executado. Mais tarde, os atacantes passaram a usar uma abordagem em duas etapas, recorrendo ao wget para obter outro script de shell, chamado wget.sh, do mesmo servidor.
A VulnCheck também identificou uma solicitação que usou wget ou curl para buscar uma carga denominada .sys_update em 45.194.90[.]57:38472. Ela deveria ser salva como /tmp/.kworker, nome destinado a se parecer com o de um processo de trabalho do kernel, e depois executada. Os pesquisadores não conseguiram obter wget.sh nem .kworker, portanto suas funções exatas permanecem desconhecidas.
Algumas solicitações não incluíam um programa de download. Em vez disso, configuravam um endpoint HTTP do Node-RED conectado a um nó de função e a um nó de execução, permitindo que o atacante emitisse comandos por meio de um parâmetro de consulta. Garrity afirmou que esse backdoor poderia permanecer instalado mesmo que um implante baseado em memória fosse perdido após uma reinicialização.
Fontes: The Hacker News.