CVE-2026-58115: falha no Node-RED do IoT2050 já é explorada

A empresa de inteligência de vulnerabilidades VulnCheck confirmou exploração ativa da CVE-2026-58115, falha de severidade máxima (CVSS 10.0) no Node-RED embarcado no gateway industrial SIMATIC IoT2050 Advanced, da Siemens. Os primeiros ataques reais foram registrados em 30 de outubro, cerca de três meses depois de a Siemens corrigir o problema na versão V4.3.4.1 — e, até a publicação deste texto, a falha ainda não tinha entrado no catálogo oficial de vulnerabilidades exploradas (KEV) da CISA.

O que aconteceu

A CVE-2026-58115 é uma falha de ausência de autenticação (CWE-306) na API administrativa do Node-RED, o motor de automação por fluxos que o IoT2050 Advanced usa de fábrica. Sem a opção adminAuth configurada, qualquer atacante remoto consegue criar e implantar fluxos completos sem fazer login — e um fluxo do Node-RED pode executar comandos de sistema com privilégio máximo.

A Siemens publicou a correção em 11 de agosto de 2026 e a CISA republicou o aviso (ICSA-26-237-03) em 25 de agosto, sem registrar exploração conhecida até então. A VulnCheck distribuiu detecção para esse CVE em 27 de outubro e, três dias depois, um dos seus honeypots (canários) recebeu um ataque real: um POST /flows que implantou um fluxo malicioso e devolveu HTTP 200 com hash de nova revisão — a resposta típica de uma instância vulnerável.

Como funciona o ataque

O fluxo malicioso liga um nó inject a um nó exec, o que faz o próprio Node-RED disparar o comando automaticamente assim que o fluxo é implantado — sem exigir nenhuma ação adicional do atacante. O comando, codificado em base64, baixa um binário Linux para /dev/shm/.b, pasta que vive na memória RAM e não deixa rastro em disco, torna o arquivo executável e o roda em segundo plano com setsid ou nohup.

Variantes mais recentes trocaram essa etapa por um script (wget.sh) que baixa de um segundo servidor um binário chamado .kworker — nome escolhido para se camuflar entre processos legítimos do kernel Linux. Outras tentativas instalam webshells: um nó http in ligado a um exec, que deixa o atacante executar comandos futuros só passando parâmetros na URL, sem precisar repetir o exploit.

A VulnCheck não recuperou os binários baixados e por isso não confirma o objetivo final da campanha — minerador de criptomoeda, bot de DDoS ou simples acesso remoto persistente são hipóteses compatíveis com o padrão observado, mas nenhuma delas foi verificada.

Quem está exposto

O CVE foi atribuído ao SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) com Node-RED em versão anterior à V4.3.4.1, mas o problema de fundo — Node-RED exposto à rede sem adminAuth — não é exclusivo da Siemens. A ferramenta é usada como motor de automação dentro de produtos de outros fabricantes de ICS/OT (a documentação da Emerson cita o uso, embora a VulnCheck não tenha confirmado se os produtos da empresa são afetados) e em instalações próprias em manufatura, utilities, saúde, agricultura e automação residencial e industrial.

Como se proteger

1. Levante todas as instâncias de Node-RED da rede — embarcadas em gateway industrial ou instaladas manualmente — e verifique quais estão acessíveis pela internet. A porta de administração nunca deveria estar exposta diretamente.
2. Confirme que o adminAuth está configurado em cada instância. É a ausência dessa configuração, não apenas a versão do produto, que abre a porta para o ataque.
3. Revise os fluxos implantados à procura de nós exec ou http in que você não reconhece — é a assinatura do webshell descrito pela VulnCheck.
4. Se o dispositivo for um SIMATIC IoT2050 Advanced, atualize para a versão V4.3.4.1 ou posterior. Sem atualização imediata, a Siemens recomenda desinstalar o Node-RED ou isolar o dispositivo atrás de firewall, fora do alcance direto da internet.
5. Bloqueie ou monitore os indicadores divulgados pela VulnCheck: os IPs 4.201.105.116, 85.215.73.250 (porta 8080) e 45.194.90.57 (porta 38472).

Perguntas frequentes

A falha já está no catálogo KEV da CISA?
Não, até a publicação deste texto. A exploração ativa foi documentada de forma independente pela VulnCheck, que mantém seu próprio catálogo de vulnerabilidades exploradas — não é preciso esperar a confirmação da CISA para corrigir.

Só o IoT2050 da Siemens é afetado?
O CVE foi atribuído a esse produto, mas o risco real é qualquer instância de Node-RED sem autenticação exposta à rede, dentro ou fora de um gateway industrial.

Atualizar o Siemens IoT2050 já resolve o problema?
Resolve a falha específica da CVE-2026-58115, mas vale revisar se o adminAuth continua ativo mesmo depois da atualização — é essa configuração que fecha a porta de entrada usada no ataque.

Como saber se meu Node-RED já foi comprometido?
Procure fluxos com nós inject ligados a exec, ou http in ligados a exec, que você não criou, além de processos suspeitos iniciados a partir de /dev/shm.

Conclusão

A exploração ativa da CVE-2026-58115 chegou antes do aviso oficial da CISA, o que reforça um padrão: esperar a entrada no catálogo KEV para agir é tarde demais quando pesquisadores independentes já documentam ataques reais. Quem administra automação industrial, OT ou qualquer instância de Node-RED deve tratar isso como tarefa do dia — não da próxima janela de manutenção.