En una actualización del 1 de noviembre de 2026, VulnCheck describió flujos HTTP-in conectados a nodos exec que podían sobrevivir a un reinicio. La organización había situado el primer despliegue de un flujo en su canario el 30 de octubre, al explotar CVE-2026-58115, un fallo de autenticación en la interfaz HTTP de Node-RED.
Qué observó VulnCheck en Node-RED
En el flujo inicial, un nodo inject activaba uno exec, que ejecutaba un comando de shell al desplegarse el flujo. El comando intentaba descargar y ejecutar desde /dev/shm, un sistema de archivos alojado en memoria, un binario llamado bot-linux-amd64. El nombre apunta a Linux en arquitectura AMD64; VulnCheck no recuperó el binario y no determinó qué hacía.
La actualización del 1 de noviembre describió otra variante: flujos con endpoints HTTP-in conectados a nodos exec, de tipo webshell y capaces, según VulnCheck, de seguir funcionando tras un reinicio. La descripción del binario y la de estos flujos corresponden a variantes distintas.
VulnCheck contó 16 eventos contra CVE-2026-58115 desde una misma dirección IP entre el 30 de octubre y el 1 de noviembre. En el conjunto más amplio de sus canarios, esa IP generó 125 impactos contra ocho CVE. La organización caracterizó el patrón como una actividad oportunista de exploración masiva.
Qué registró el canario
Tras una solicitud de despliegue, el canario de VulnCheck respondió con HTTP 200 y un nuevo hash de revisión del flujo. VulnCheck interpretó esa respuesta como un despliegue correcto en el canario.
Qué equipos Siemens cubre el aviso y qué medidas indica
El aviso de Siemens republicado por CISA enumera como afectado el SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) con Industrial OS y Node-RED instalado, en versiones anteriores a V4.3.4.1. La vulnerabilidad permite crear flujos sin autenticación y ejecutar código arbitrario en el servidor subyacente con privilegios máximos. CISA asigna a CVE-2026-58115 una puntuación CVSS v3.1 de 10,0, crítica. (Aviso de CISA sobre el SIMATIC IoT2050 Advanced)
Para esa configuración, el aviso enumera tres medidas: endurecer la instalación de Node-RED, desinstalarlo o actualizar a V4.3.4.1 o posterior. CISA también recomienda evitar que los dispositivos de control sean accesibles desde Internet y reducir su exposición de red.
