CVE-2026-58115: atacantes prueban pasarelas Siemens IoT2050 a través de Node-RED, pero no hay ningún equipo real con intrusión confirmada

En qué consiste el fallo

El SIMATIC IoT2050un pequeño ordenador industrial de Siemens que hace de puente entre las máquinas de una fábrica y los sistemas informáticos, a menudo para recoger datos de sensores puede ejecutar Node-REDuna herramienta de código abierto para crear automatizaciones uniendo bloques, llamados nodos, en el navegador. Según el aviso SSA-834709 de Siemens, la interfaz HTTP de Node-RED en estos equipos no exige autenticación. Algunos bloques de Node-RED ejecutan órdenes del sistema, así que un atacante que llegue a la interfaz puede crear un "flujo" malicioso y ejecutar código en el equipo "con los máximos privilegios".

Siemens publicó el aviso el 11 de agosto de 2026, con la corrección en la versión V4.3.4-1. El 4 de noviembre lo actualizó para aclarar los productos afectados. La lista menciona ahora cuatro modelos: IoT2050 Advanced, Basic, M.2 y SM.

Lo que se ha observado de verdad

Los avisos de ataques proceden de VulnCheck, una empresa de inteligencia sobre vulnerabilidades. En un artículo publicado el 2 de noviembre, cuenta que uno de sus canariossistemas señuelo preparados para parecer un equipo vulnerable real, para que los investigadores vean qué hacen los atacantes detectó a un atacante explotando CVE-2026-58115 el 30 de octubre. El atacante envió una sola petición que instaló un flujo para descargar y ejecutar un programa de Linux llamado bot-linux-amd64. VulnCheck no analizó ese programa, así que no se sabe qué hace.

VulnCheck contó 16 eventos de la misma dirección IP contra este fallo entre el 30 de octubre y el 1 de noviembre. Algunas peticiones no instalaron ningún programa y, en su lugar, añadieron una dirección web conectada a un nodo de órdenes, un webshelluna dirección web oculta que permite al atacante enviar órdenes al servidor cuando quiera. VulnCheck señala que este tipo de puerta trasera "sobrevive aunque se pierda en un reinicio un implante que solo vive en memoria".

La misma dirección atacó ocho CVE distintos en pocos días, entre ellos fallos de Apache Solr, Gitea, MLflow y Joomla. VulnCheck lo interpreta como un escaneo oportunista, no como una operación dirigida contra clientes de Siemens.

En qué se equivocan los titulares

Varios medios publicaron que hay hackers explotando el fallo para instalar puertas traseras en equipos Siemens. Los ataques existen, pero alcanzaron los señuelos de VulnCheck. VulnCheck no informa de la intrusión en ningún equipo Siemens real. CISA no ha añadido CVE-2026-58115 a su catálogo de vulnerabilidades explotadas conocidas, y cuando el CVE se publicó en agosto, la evaluación de CISA indicaba explotación "ninguna". VulnCheck sí lo ha incluido en su propia lista de vulnerabilidades explotadas.

En la práctica, el aviso sigue siendo serio. Hay ataques automáticos contra interfaces de Node-RED expuestas ahora mismo, y un IoT2050 accesible desde internet sin inicio de sesión sería un blanco fácil.

Qué hacer

1. Actualiza el IoT2050 a V4.3.4-1 o posterior, como recomienda Siemens.
2. Si todavía no puedes, sigue las dos medidas de Siemens: refuerza Node-RED, por ejemplo activando el inicio de sesión adminAuth, o desinstala Node-RED si no lo usas.
3. Comprueba si la interfaz de Node-RED es accesible hoy desde fuera de tu red. Los equipos industriales deben estar detrás de un cortafuegos o una VPN, como indica la guía general de seguridad de Siemens.
4. Revisa los flujos ya instalados. Nodos exec desconocidos, nuevas direcciones HTTP o archivos como /dev/shm/.b y /tmp/.kworker son señales de intrusión. Actualizar no elimina un flujo que un atacante ya haya añadido.

Lo que aún no se sabe

No se sabe cuántos IoT2050 están expuestos en internet, si se ha atacado con éxito algún equipo real ni quién gestiona el servidor atacante. Actualizaremos este análisis si Siemens, CISA o VulnCheck publican más información.

Sobre otros fallos usados este otoño contra equipos expuestos a internet, consulta los ataques a Ivanti Connect Secure y la lista de CISA del 26 al 29 de octubre, que incluye un fallo en la VPN de los cortafuegos de Cisco.