Servidores Node-RED infectados com malware devido a vulnerabilidade crítica

Abstract flowing curves with blue and purple light reflections on a dark background — Milad Fakurian / Unsplash

Atacantes exploraram uma vulnerabilidade crítica na ferramenta de programação Node-RED para infectar servidores com malware. A informação foi divulgada pela empresa de cibersegurança Vulncheck. A Siemens anunciou a existência da vulnerabilidade (CVE-2026-58115) em agosto e disponibilizou atualizações para resolver o problema.

A vulnerabilidade CVE-2026-58115 refere-se à falta de autenticação na interface HTTP do Node-RED. Um atacante não autenticado pode acessar nós de programação que permitem a execução de comandos de sistema no servidor. Através de um fluxo malicioso do Node-RED, o atacante pode executar código arbitrário com permissões máximas no servidor subjacente, conforme indicado no boletim de segurança da Siemens. A pontuação de impacto CVSS da vulnerabilidade foi avaliada em 10.0 em uma escala de 1 a 10.

A Siemens utiliza o Node-RED no gateway SIMATIC IoT2050. Segundo a descrição da Siemens, o gateway IoT deve tornar fábricas existentes prontas para o Internet das Coisas Industrial (IIoT), sem a necessidade de modificar hardware ou software. A Vulncheck relatou que os atacantes estão explorando a CVE-2026-58115. Através de um fluxo mal-intencionado, o servidor Node-RED vulnerável baixará e executará malware do servidor dos atacantes, incluindo um bot Linux e uma webshell que funciona como uma porta dos fundos. Até o momento, não se sabe qual é o objetivo dos atacantes.