Ciberdelincuentes están explotando una vulnerabilidad crítica (puntuación 10/10) en Node-RED, herramienta usada en infraestructuras industriales y dispositivos Siemens, para instalar bots de Linux. El ataque permite ejecutar comandos remotos sin autenticación, facilitando sabotajes físicos en sistemas operativos. Expertos advierten que se trata de un escaneo masivo y oportunista, instando a actualizar los sistemas y restringir el acceso externo.

 

Criminales desconocidos están explotando una vulnerabilidad de severidad máxima en Node-RED, una herramienta de programación basada en flujos ampliamente utilizada en infraestructuras críticas, para desplegar un flujo que descarga y ejecuta un bot de Linux.

Node-RED se utiliza comúnmente para la automatización de flujos de trabajo en sistemas de control industrial (ICS) y entornos de tecnología operativa (OT). Está construido sobre Node.js y se utiliza en productos comerciales, incluido el Siemens SIMATIC IoT2050 [enlace]. En agosto, Siemens asignó el identificador de vulnerabilidad – CVE-2026-58115 [enlace] – para describir el error y explicar su calificación perfecta de 10 sobre 10 en CVSS.

Los dispositivos Siemens afectados no aplican la autenticación en la interfaz HTTP de Node-RED, lo que permite el acceso no autenticado a nodos de programación que pueden ejecutar comandos del sistema en el dispositivo. Esto significa que atacantes remotos no autenticados pueden crear flujos maliciosos, que es lo que los investigadores de VulnCheck comenzaron a documentar el viernes pasado.


“El 30 de octubre de 2026, uno de nuestros canarios detectó a un atacante explotando la CVE-2026-58115”, advirtió el investigador de VulnCheck Patrick Garrity [enlace] en un aviso del lunes, añadiendo que dos nodos integrados de Node-RED hacen que esta vulnerabilidad sea “trivial de convertir en arma”.


Uno es un nodo de inyección, que dispara un mensaje ya sea según un horario o una vez al iniciar. El segundo, un nodo de ejecución (exec), puede ejecutar comandos de shell. “Conecta uno al otro y el flujo ejecuta un comando tan pronto como se despliega, sin más interacción”, dijo Garrity.

Además, estos exploits llegan mientras los criminales buscan cada vez más atacar dispositivos OT e ICS expuestos a Internet, permitiendo que sus ciberataques impacten el mundo físico y produzcan daños en la vida real. Un ejemplo claro: los hackeos en curso de controladores de refrigeración en toda Europa y los ataques a sistemas de agua en al menos 12 estados de EE. UU. durante el verano.

La actividad observada por VulnCheck provino de una sola dirección IP, 4.201.105[.]116, que se encuentra en la red AS8075 de Microsoft y se geolocaliza en Brasil. “No solo nos escaneó. Envió el exploit completo, el flujo y el dropper, en un único POST /flows”, escribió Garrity.

Aunque hay mucho que los investigadores aún no saben sobre los ataques —no recuperaron un binario ni scripts preparados para analizar—, el nombre del archivo, bot-linux-amd64, indica que el malware tiene como objetivo Linux ejecutándose en procesadores AMD64. También sugiere que el operador del malware puede tener otras versiones. “No obtuvimos el binario, por lo que no podemos decir qué hace una vez que se ejecuta”, señaló Garrity.

Entre el 30 de octubre y el 1 de noviembre, los investigadores vieron que esta dirección IP atacaba la misma vulnerabilidad de Node-RED 16 veces, y registró 125 impactos contra ocho CVE diferentes en su red de canarios más amplia. Entre los objetivos del ataque se encontraba un fallo de Apache Solr de siete años, rastreado como CVE-2019-17558 —que afecta a Camunda, Gitea, MLflow, Traefik y Joomla, junto con Node-RED—. Todo esto sugiere un “escaneo masivo oportunista en lugar de un ataque dirigido”, según el investigador.

Uno de estos impactos entregó una carga útil diferente que apuntaba a un servidor separado (85.215.73[.]250), que VulnCheck ahora rastrea, pero de el cual no tiene más telemetría que la URL. “Debido a que el host de descarga es una máquina diferente de la que envió el exploit, la configuración probable es un acuerdo de escaneo e infección: los hosts que encuentran y explotan instancias vulnerables extraen el implante de un servidor dedicado y separado”, escribió Garrity.

La mezcla de errores antiguos y nuevos en productos no relacionados indica un “escaneo masivo oportunista en lugar de un ataque dirigido”, escribió Garrity.

“Si ejecuta Node-RED en cualquier lugar, incluidos los entornos OT, compruebe hoy mismo si es accesible desde fuera de su red, aplique las actualizaciones disponibles e implemente detecciones para reducir el riesgo de explotación”, añadió [enlace] en una publicación de LinkedIn.


Si bien el error ha sido añadido al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de VulnCheck, no ha aparecido (hasta el momento de la publicación) en el KEV de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU.

Fuente:
TheRegister