Uma vulnerabilidade crítica que afeta os dispositivos Siemens SIMATIC IoT2050 Advanced está sendo explorada ativamente, informou a VulnCheck.
Identificada como
CVE-2026-58115
e com pontuação CVSS de 10,0, a vulnerabilidade decorre da ausência de autenticação em uma função crítica. Um invasor remoto não autenticado pode explorá-la para executar código arbitrário.
“Os dispositivos SIMATIC IoT2050 Advanced que usam o Industrial OS com o Node-RED instalado apresentam uma falha de autenticação na interface HTTP do Node-RED. Ela pode permitir que um invasor remoto não autenticado crie fluxos maliciosos e execute código arbitrário no servidor subjacente com privilégios máximos”, informou a Siemens em um comunicado publicado em agosto de 2026.
A falha foi corrigida na versão 4.3.4.1 e nas posteriores. Como medidas de proteção, a Siemens recomenda desinstalar o Node-RED ou reforçar sua configuração com as seguintes ações:
- Habilitar o acesso por HTTPS.
- Proteger o editor e a API de administração com autenticação baseada em credenciais ou por meio de um provedor OAuth/OpenID.
- Proteger os nós HTTP e o painel do Node-RED com autenticação básica.
Em 30 de outubro de 2026, a VulnCheck informou ter observado invasores tentando explorar a
CVE-2026-58115
em sua rede de honeypots para baixar e executar um bot para Linux.
“A solicitação do invasor era um exploit completo”, afirmou Patrick Garrity, pesquisador da VulnCheck. “Ela implantou um fluxo do Node-RED, acionou sua execução automaticamente e baixou um arquivo binário de um servidor controlado pelo invasor, tudo protegido por três camadas de codificação.”
O fluxo malicioso executa um script de shell que usa o wget para baixar o arquivo binário do botnet para a arquitetura AMD64 do endereço 85.215.73[.]250. Se a tentativa com o wget falhar, o script recorre ao curl. Na etapa final, o arquivo é salvo como “/dev/shm/.b” e executado.
Depois disso, os invasores por trás da campanha passaram a usar um processo em duas etapas. O comando wget é usado para baixar do mesmo servidor outro script de shell, chamado “wget.sh”.
Outra solicitação tenta usar o wget ou o curl para acessar “45.194.90[.]57:38472” e baixar um payload chamado “.sys_update”. O arquivo é salvo no disco como “/tmp/.kworker”, em uma tentativa de fazê-lo parecer um processo inofensivo do kernel, e então é executado. Não foi possível determinar a função exata de “wget.sh” ou “.kworker”, pois os arquivos não puderam ser obtidos.
“Várias solicitações não implantaram nenhum programa para baixar arquivos. Em vez disso, o fluxo expõe um endpoint de entrada HTTP, por exemplo, ‘/cmd’ ou um caminho com nome aleatório, conectado a um nó de função e, em seguida, a um nó de execução com a opção addpay habilitada. Assim, o invasor pode executar comandos arbitrários posteriormente, enviando-os em um parâmetro de consulta”, afirmou Garrity. “Esse backdoor continua ativo mesmo que um implante residente na memória seja perdido após a reinicialização.”
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...