Aktualizacja VulnCheck z 1 listopada opisała przepływy HTTP-in w Node-RED połączone z węzłem exec, które mogły przetrwać ponowne uruchomienie urządzenia. Pierwsze opisane przez firmę wykorzystanie CVE-2026-58115, identyfikatora podatności, jej środowisko canary odnotowało 30 października 2026 r. Oficjalne ostrzeżenie CISA wymienia konkretną konfigurację Siemens SIMATIC IoT2050 Advanced i zaleca jej aktualizację lub inne zabezpieczenie.

Późniejsze przepływy mogły przetrwać restart

VulnCheck opisał żądania, które tworzyły przepływy HTTP-in połączone z węzłem exec. Powstałe w ten sposób endpointy przypominały webshell, czyli interfejs pozwalający zdalnie wykonywać polecenia, i według VulnCheck mogły działać także po restarcie.

Wcześniejszy wariant próbował zapisać plik bot-linux-amd64 w /dev/shm, systemie plików opartym na pamięci RAM, a następnie uruchomić go w tle. Nazwa wskazuje na możliwy cel w postaci systemu Linux o architekturze AMD64. VulnCheck nie pobrał binarki, więc jej funkcji nie ustalono.

Co odnotował system canary

30 października 2026 r. środowisko canary VulnCheck zarejestrowało żądanie wdrożenia przepływu w Node-RED. Po jego otrzymaniu zwróciło kod HTTP 200 i nowy hash rewizji przepływu. Według VulnCheck oznaczało to, że wdrożenie przepływu powiodło się w tym środowisku.

Opisany mechanizm wykorzystywał wbudowane w Node-RED węzły inject i exec. Węzeł inject uruchamiał polecenie, a exec wykonywał je w powłoce po wdrożeniu przepływu.

Od 30 października do 1 listopada VulnCheck naliczył 16 zdarzeń dotyczących CVE-2026-58115, pochodzących z jednego adresu IP. W szerszej sieci canary ten sam adres wygenerował 125 trafień związanych z ośmioma CVE. VulnCheck opisał zaobserwowaną aktywność jako oportunistyczne, masowe skanowanie.

Konfiguracja Siemens wymieniona w ostrzeżeniu

Ostrzeżenie CISA dotyczące Siemens SIMATIC IoT2050 Advanced obejmuje model 6ES7647-0BA00-1YA2 z Industrial OS i zainstalowanym Node-RED, w wersji wcześniejszej niż V4.3.4.1. Przyczyną jest brak uwierzytelniania w interfejsie HTTP Node-RED, co pozwala zdalnie wdrażać przepływy i wykonywać kod na urządzeniu. CISA ocenia podatność na CVSS v3.1 10,0, czyli poziom krytyczny.

Dla tej konfiguracji CISA wymienia trzy działania: zabezpieczyć instalację Node-RED, odinstalować Node-RED albo zaktualizować urządzenie do V4.3.4.1 lub nowszej. Agencja zaleca też ograniczenie ekspozycji urządzeń sterujących i niedopuszczanie do ich bezpośredniego dostępu z Internetu.