VulnCheck ha descritto, in un aggiornamento del 1° novembre 2026, flow Node-RED con endpoint HTTP collegati a nodi exec, capaci di restare attivi dopo un riavvio. L’organizzazione aveva registrato il primo tentativo nel proprio canary il 30 ottobre. L’avviso Siemens ripubblicato da CISA indica una configurazione precisa di SIMATIC IoT2050 Advanced come interessata dalla vulnerabilità CVE-2026-58115. (VulnCheck)
I flow descritti da VulnCheck possono persistere dopo un riavvio
Node-RED usa flow, cioè sequenze di nodi collegati per automatizzare operazioni. Nel caso descritto da VulnCheck, un nodo inject attiva un nodo exec, che esegue un comando shell quando il flow viene distribuito. L’interfaccia HTTP di Node-RED priva di autenticazione permetteva di inviare il flow senza credenziali.
Le prime richieste osservate tentavano anche di scaricare un file chiamato bot-linux-amd64 in /dev/shm, un filesystem basato sulla memoria, e di avviarlo in background. Il nome suggerisce un binario destinato a Linux su architettura AMD64; VulnCheck non ha recuperato il file e non ne ha descritto le funzioni. Nelle richieste successive, l’organizzazione ha rilevato flow con endpoint HTTP-in collegati a exec: questa struttura poteva mantenere accessibile il comando anche dopo un riavvio.
Che cosa ha registrato il canary
Il 30 ottobre 2026 il canary di VulnCheck ha restituito una risposta HTTP 200 e un nuovo hash di revisione del flow dopo una richiesta di distribuzione. VulnCheck ha registrato così un deployment riuscito nel proprio canary. Tra il 30 ottobre e il 1° novembre ha contato 16 eventi contro CVE-2026-58115 provenienti dallo stesso indirizzo IP. Nel complesso della sua rete di canary, quell’indirizzo ha generato 125 richieste contro otto CVE; VulnCheck ha descritto il quadro come scansione opportunistica.
Il modello Siemens indicato nell’avviso e le misure
La scheda CISA, che ripubblica l’avviso di Siemens ProductCERT, indica come interessato il SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) con Industrial OS e Node-RED installato, nelle versioni precedenti a V4.3.4.1. Il problema è l’assenza di autenticazione sull’interfaccia HTTP di Node-RED, che consente di distribuire flow da remoto e può portare all’esecuzione di codice con i massimi privilegi sul sistema sottostante. CISA assegna alla vulnerabilità un punteggio CVSS v3.1 di 10,0, livello Critical.
Per questa configurazione, l’avviso indica di rafforzare la sicurezza dell’installazione di Node-RED, disinstallare Node-RED oppure aggiornare il dispositivo a V4.3.4.1 o successiva. CISA raccomanda inoltre di ridurre l’esposizione in rete dei dispositivi di controllo e di impedire che siano raggiungibili da Internet.
