CVE-2026-58115: invasores testam gateways Siemens IoT2050 pelo Node-RED, mas nenhum aparelho real teve invasão confirmada

O que é a falha

O SIMATIC IoT2050pequeno computador industrial da Siemens usado como ponte entre máquinas de fábrica e sistemas de TI, muitas vezes para coletar dados de sensores pode rodar o Node-REDferramenta de código aberto para montar automações ligando blocos, chamados nós, no navegador. Segundo o aviso SSA-834709 da Siemens, a interface HTTP do Node-RED nesses aparelhos não exige autenticação. Alguns blocos do Node-RED executam comandos do sistema, então um invasor que chegue à interface pode criar um "fluxo" malicioso e executar código no aparelho "com privilégios máximos".

A Siemens publicou o aviso em 11 de agosto de 2026, com a correção na versão V4.3.4-1. Em 4 de novembro, atualizou o aviso para esclarecer os produtos afetados. A lista agora cita quatro modelos: IoT2050 Advanced, Basic, M.2 e SM.

O que foi realmente observado

Os relatos de ataque vêm da VulnCheck, empresa de inteligência sobre vulnerabilidades. Num texto publicado em 2 de novembro, ela diz que um de seus canáriossistemas-isca montados para parecer um aparelho vulnerável de verdade, para que pesquisadores vejam o que os invasores fazem pegou um invasor explorando a CVE-2026-58115 em 30 de outubro. O invasor enviou um único pedido que instalou um fluxo para baixar e executar um programa Linux chamado bot-linux-amd64. A VulnCheck não analisou o programa, então não se sabe o que ele faz.

A VulnCheck contou 16 eventos do mesmo endereço IP contra essa falha entre 30 de outubro e 1º de novembro. Alguns pedidos não instalaram programa nenhum e, em vez disso, acrescentaram um endereço web ligado a um nó de comandos, um webshellendereço web escondido que deixa o invasor mandar comandos para o servidor quando quiser. A VulnCheck observa que esse tipo de backdoor "sobrevive mesmo se um implante que fica só na memória se perder ao reiniciar".

O mesmo endereço atacou oito CVEs diferentes em poucos dias, incluindo falhas no Apache Solr, Gitea, MLflow e Joomla. A VulnCheck interpreta isso como varredura oportunista, não uma operação dirigida a clientes da Siemens.

O que as manchetes erram

Vários veículos publicaram que hackers estão explorando a falha para instalar backdoors em equipamentos Siemens. Os ataques existem, mas atingiram as iscas da VulnCheck. A VulnCheck não relata invasão de nenhum aparelho Siemens real. A CISA não incluiu a CVE-2026-58115 no catálogo de vulnerabilidades conhecidas e exploradas, e, quando o CVE foi publicado em agosto, a avaliação da CISA marcava a exploração como "nenhuma". A VulnCheck incluiu a falha na própria lista de vulnerabilidades exploradas.

Na prática, o alerta continua sério. Ataques automáticos contra interfaces do Node-RED expostas estão acontecendo agora, e um IoT2050 acessível pela internet sem login seria um alvo fácil.

O que fazer

1. Atualize o IoT2050 para a V4.3.4-1 ou mais recente, como recomenda a Siemens.
2. Se ainda não der para atualizar, siga as duas medidas da Siemens: proteja o Node-RED, por exemplo ativando o login adminAuth, ou desinstale o Node-RED se não o usa.
3. Verifique se a interface do Node-RED pode ser acessada de fora da sua rede hoje. Equipamentos industriais devem ficar atrás de firewall ou VPN, como diz a orientação geral de segurança da Siemens.
4. Revise os fluxos já instalados. Nós exec desconhecidos, novos endereços HTTP ou arquivos como /dev/shm/.b e /tmp/.kworker são sinais de invasão. A atualização não remove um fluxo que um invasor já adicionou.

O que ainda não se sabe

Não se sabe quantos IoT2050 estão expostos na internet, se algum aparelho real foi invadido nem quem opera o servidor de ataque. Vamos atualizar esta análise se a Siemens, a CISA ou a VulnCheck publicarem mais informações.

Para outras falhas usadas contra equipamentos expostos na internet neste outono, veja os ataques ao Ivanti Connect Secure e a lista da CISA de 26 a 29 de outubro, que inclui uma falha na VPN dos firewalls da Cisco.