Uma atualização da VulnCheck de 1º de novembro de 2026 descreveu fluxos HTTP-in ligados a nós exec que poderiam manter endpoints em estilo webshell ativos após uma reinicialização. A VulnCheck havia registrado em seu canário o primeiro evento de exploração da CVE-2026-58115 em 30 de outubro. A análise da VulnCheck detalha as variantes observadas.

Como os fluxos exploram a falha

A interface HTTP do Node-RED permitia criar fluxos sem autenticação. No caso descrito pela VulnCheck, um nó inject acionava um nó exec, que executava um comando de shell quando o fluxo era implantado. A atualização de 1º de novembro descreveu também fluxos com endpoints HTTP-in conectados a nós exec; segundo a VulnCheck, eles poderiam persistir após uma reinicialização.

A primeira tentativa de payload observada buscava baixar um arquivo chamado bot-linux-amd64 para /dev/shm, um sistema de arquivos baseado em memória, e executá-lo em segundo plano. O nome sugere um alvo Linux AMD64. A VulnCheck não obteve o binário, então sua função não foi determinada.

O que a resposta do canário registrou

Segundo a VulnCheck, o canário respondeu HTTP 200 e gerou um novo hash de revisão do fluxo após o pedido de implantação. Esse retorno registrou a implantação do fluxo no próprio canário. Entre 30 de outubro e 1º de novembro, a organização contou 16 eventos contra a CVE-2026-58115, originados do mesmo endereço IP. Na rede mais ampla de canários, esse IP gerou 125 ocorrências contra oito CVEs.

Qual configuração Siemens o aviso identifica

A CISA reproduziu o comunicado do Siemens ProductCERT, que identifica como afetado o SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) com Industrial OS e Node-RED instalado, em versões anteriores à V4.3.4.1. O aviso classifica a CVE-2026-58115 como Crítica, com pontuação CVSS v3.1 de 10,0. A falha permite execução remota de código no servidor com privilégios máximos.

Para essa configuração, o aviso lista três medidas: reforçar a segurança da instalação do Node-RED, desinstalar o Node-RED ou atualizar o dispositivo para a V4.3.4.1 ou posterior. A CISA também recomenda evitar que dispositivos de sistemas de controle sejam acessíveis pela internet e limitar a exposição da rede de controle.