La firma VulnCheck confirmó la explotación activa de una vulnerabilidad de severidad máxima en los equipos industriales Siemens SIMATIC IoT2050 Advanced. Afecta a los dispositivos que ejecutan Industrial OS con Node-RED instalado. Node-RED es una herramienta de programación visual por flujos, muy usada para conectar sensores, máquinas y sistemas. Un atacante remoto puede tomar control total del equipo sin credenciales, en entornos donde estos dispositivos suelen hacer de puente entre la planta y la red corporativa.
La falla se identifica como CVE-2026-58115 y tiene una puntuación CVSS de 10.0, el máximo de la escala. Se trata de una ausencia de autenticación en una función crítica. Según el aviso de Siemens, publicado en agosto de 2026, la interfaz HTTP de Node-RED no exige autenticación. Así, un atacante puede crear flujos maliciosos y ejecutar código arbitrario con los máximos privilegios del sistema.
Desde el 30 de octubre de 2026, VulnCheck registró intentos de explotación contra su red de señuelos. El atacante desplegaba un flujo de Node-RED, lo activaba de forma automática y descargaba un binario desde un servidor bajo su control. Todo iba oculto tras tres capas de codificación. El script usaba wget, con curl como alternativa, para traer un bot de Linux (programa que convierte el equipo en parte de una red de dispositivos controlados a distancia) desde 85.215.73[.]250. El archivo se guardaba en memoria como “/dev/shm/.b” y se ejecutaba. Después, la campaña pasó a un proceso en dos etapas con un script llamado “wget.sh”. Otra variante descargaba un archivo desde 45.194.90[.]57:38472 y lo guardaba como “/tmp/.kworker” para disfrazarlo de proceso legítimo del sistema. No se pudo recuperar ni analizar el contenido de “wget.sh” ni de “.kworker”.
La variante más preocupante no descarga nada. Crea un punto de acceso HTTP, por ejemplo /cmd o una ruta con nombre aleatorio, conectado a un nodo que ejecuta comandos del sistema. El atacante luego envía órdenes en un parámetro de la URL. Esta puerta trasera queda guardada como flujo de Node-RED. Por eso sobrevive a un reinicio, aunque se pierda el código malicioso alojado en memoria.
Siemens corrigió la falla en la versión 4.3.4.1 o posteriores. Si no es posible actualizar de inmediato, el fabricante recomienda desinstalar Node-RED o reforzar su configuración según la guía oficial de Node-RED:
- Habilitar el acceso por HTTPS.
- Proteger el editor y la API de administración con credenciales o con un proveedor OAuth/OpenID (protocolos estándar de inicio de sesión).
- Proteger los nodos HTTP y el panel de Node-RED con autenticación básica.
Actualizar no basta si el equipo ya estuvo expuesto. Conviene revisar los flujos existentes en busca de nodos HTTP y de ejecución de comandos desconocidos. También hay que buscar archivos en /dev/shm y /tmp con nombres ocultos, y conexiones hacia las direcciones IP citadas.
Qué significa para tu empresa: Si su planta usa gateways SIMATIC IoT2050 u otros equipos con Node-RED, esta semana debe inventariarlos y confirmar su versión. También debe verificar que ninguno sea accesible desde Internet o desde la red de oficina sin control. En nuestra experiencia con seguridad OT industrial, muchos de estos dispositivos se instalan para un proyecto puntual y luego nadie los vuelve a revisar. Segmentar la red de planta y limitar quién puede alcanzar sus interfaces web reduce de forma drástica el impacto de fallas como esta.
Fuente original: The Hacker News — ver artículo →