Producto(s) afectado(s):
| Producto | Versiones afectadas | Versión corregida |
| SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) | Anteriores a V4.3.4.1 con Node-RED instalado | V4.3.4.1 |
Los equipos que no tienen Node-RED instalado no están afectados.
Descripción
Se ha publicado una vulnerabilidad de severidad crítica (CVSSv4 10.0 – CRÍTICO) en Node-RED sobre Siemens SIMATIC IoT2050 Advanced que permite a un atacante remoto sin autenticación ejecutar código arbitrario con privilegios máximos, sin interacción del usuario. La vulnerabilidad ha sido etiquetada como CVE-2026-58115 y es del tipo falta de autenticación en una función crítica (CWE-306). El fabricante publicó el aviso el 11/08/2026 y también le asigna una puntuación CVSS v3.1 de 10.0.
La falla se encuentra en la interfaz HTTP de Node-RED (editor y API de administración, en el puerto 1880 por defecto), que no exige autenticación. Un atacante puede crear flujos con nodos que ejecutan comandos del sistema y así ejecutar código arbitrario con privilegios máximos.
Se ha confirmado la explotación activa de esta vulnerabilidad. Investigadores registraron en un honeypot el primer ataque el 30/10/2026 y 16 eventos desde una misma dirección IP entre el 30/10/2026 y el 01/11/2026, con varios payloads. Se trata de actividad oportunista de escaneo masivo: la misma dirección IP atacó también otras 8 vulnerabilidades en productos como Apache Solr, Camunda, Gitea, MLflow, Traefik y Joomla. La vulnerabilidad figura en catálogos de explotación de terceros.
En los ataques observados, una única solicitud POST a /flows despliega una pestaña con un nodo inject (que se ejecuta una vez, al segundo) y un nodo exec que decodifica y ejecuta un comando en base64. Ese comando descarga un binario con wget o curl, le da permisos de ejecución y lo lanza en segundo plano. También se observaron variantes que descargan un script o un segundo binario, y webshells persistentes creados con un nodo «http in» (por ejemplo, /cmd) conectado a nodos function y exec, que sobreviven a los reinicios. El binario descargado no fue analizado, por lo que se desconocen sus capacidades.
Mitigación
Hasta aplicar la actualización, se deben aplicar las mitigaciones del fabricante y las medidas de red descritas en la sección Solución.
Detección/IoC
Indicadores de compromiso asociados a la explotación observada:
| Tipo | Indicador | Contexto |
| IP | 4.201.105[.]116 | Origen de ataques (AS8075, nube Microsoft, geolocaliza en Brasil) |
| IP | 85.215.73[.]250 | Servidor de payload, puerto 8080 |
| URL | hxxp://85.215.73[.]250:8080/bot-linux-amd64 | Descarga del bot |
| URL | hxxp://85.215.73[.]250:8080/wget.sh | Variante con script |
| IP | 45.194.90[.]57 | Segundo servidor de payload, puerto 38472 |
| URL | hxxp://45.194.90[.]57:38472/.sys_update | Segunda descarga (/tmp/.kworker) |
| Archivo | /dev/shm/.b, /tmp/.s, /tmp/.kworker | Rutas de caída |
Para revisar si un equipo fue comprometido se recomienda:
- Buscar flujos desconocidos con nodos exec o function, o nodos «http in» no autorizados.
- Buscar archivos ocultos en /dev/shm y /tmp.
- Revisar los procesos lanzados por Node-RED.
- Buscar conexiones hacia las direcciones IP de la tabla de IoC.
Solución
La solución consiste en actualizar SIMATIC IoT2050 Advanced a la versión V4.3.4.1 o posterior, disponible en el siguiente enlace:
https://support.industry.siemens.com/cs/ww/en/view/109741799/
Como mitigación, el fabricante recomienda desinstalar Node-RED si no se utiliza, o endurecer la instalación: habilitar adminAuth en settings.js, generar el hash de la contraseña con node-red admin hash-pw, usar HTTPS y proteger los nodos HTTP.
Además, se recomienda:
- Bloquear el acceso externo al puerto 1880, segmentar la red OT y no exponer el equipo a Internet.
- Utilizar una VPN cuando se requiera acceso remoto.
Node-RED se integra en otros productos OT/IIoT. Las instancias de Node-RED sin adminAuth, de cualquier proveedor, están en riesgo frente a la misma técnica, aunque esto no implica que otros productos estén afectados por CVE-2026-58115.
Para info sobre cómo actualizar, visita el siguiente enlace:
https://cert-portal.siemens.com/productcert/html/ssa-834709.html
Información adicional:
- Siemens — aviso de seguridad SSA-834709:
https://cert-portal.siemens.com/productcert/html/ssa-834709.html - CISA — aviso ICS ICSA-26-237-03:
https://www.cisa.gov/news-events/ics-advisories/icsa-26-237-03 - NVD — CVE-2026-58115:
https://nvd.nist.gov/vuln/detail/CVE-2026-58115 - VulnCheck — explotación dirigida a Node-RED:
https://www.vulncheck.com/blog/exploitation-targeting-node-red - Node-RED — guía para asegurar Node-RED:
https://nodered.org/docs/user-guide/runtime/securing-node-red