VulnCheck beschrieb in einem Update vom 1. November 2026 weitere Anfragen, die HTTP-in-Flows mit exec-Knoten einrichteten. Solche webshell-artigen Flows könnten laut VulnCheck einen Neustart überstehen. Die erste von VulnCheck beschriebene Ausnutzung von CVE-2026-58115 hatte ein Canary bereits am 30. Oktober registriert.

Welche Node-RED-Flows VulnCheck beobachtete

Bei einem der beschriebenen Abläufe verbanden die Angreifer einen inject-Knoten mit einem exec-Knoten. Nach der Bereitstellung des Flows startete der Shell-Befehl ohne weitere Interaktion. Ein späterer Ablauf richtete HTTP-in-Endpunkte ein, die ebenfalls mit exec-Knoten verbunden waren und laut VulnCheck nach einem Neustart bestehen bleiben konnten.

Der erste Dropper versuchte, eine bot-linux-amd64 genannte Binärdatei im speicherbasierten Dateisystem /dev/shm abzulegen und im Hintergrund zu starten. VulnCheck konnte die Binärdatei und die Staging-Skripte nicht abrufen; die Funktion des Programms ist daher unbekannt.

Was VulnChecks Canary registrierte

Nach einer Flow-Bereitstellung erhielt VulnChecks Canary die HTTP-Antwort 200 und einen neuen Flow-Revision-Hash. VulnCheck wertete das als erfolgreiche Bereitstellung in seinem Canary. Zwischen dem 30. Oktober und dem 1. November zählte das Unternehmen von derselben IP-Adresse 16 Ereignisse zu CVE-2026-58115. Über sein breiteres Canary-Netzwerk registrierte es außerdem 125 Treffer zu acht verschiedenen CVEs.

Welche Siemens-Konfiguration betroffen ist

Der am 25. August 2026 veröffentlichte CISA-Hinweis zu Siemens SIMATIC IoT2050 Advanced gibt eine Warnung von Siemens ProductCERT wieder. Als betroffen nennt er SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) mit Industrial OS und installiertem Node-RED, sofern die Version älter als V4.3.4.1 ist. Die Schwachstelle liegt laut Hinweis in einer fehlenden Authentifizierung an der HTTP-Schnittstelle von Node-RED. Sie kann unauthentisierte Remote-Angriffe ermöglichen, bei denen beliebiger Code mit maximalen Berechtigungen ausgeführt wird. CISA bewertet CVE-2026-58115 mit CVSS v3.1 10,0 als kritisch.

Für die betroffene Konfiguration nennt der Hinweis drei Maßnahmen:

  • Node-RED absichern.
  • Node-RED deinstallieren.
  • Das Gerät auf V4.3.4.1 oder höher aktualisieren.

CISA empfiehlt außerdem, Steuerungsgeräte vom Internetzugang abzuschirmen und Steuerungsnetze zu segmentieren.