Exploração da falha crítica do Node-RED implanta bots Linux e webshells persistentes
A falha CVE-2026-58115 (CVSS 10/10) é uma ausência de autenticação na interface HTTP do Node-RED que permite a um atacante remoto criar flows maliciosos e executar código com privilégios máximos. A VulnCheck relatou exploração bem-sucedida em 30 de outubro e, até 1º de novembro, 15 ataques adicionais do mesmo IP, entregando um bot Linux e webshells persistentes. Verifique se o Node-RED é acessível de fora da rede, ative o adminAuth e revise os flows por nós exec inesperados.
O que aconteceu
A VulnCheck relatou ataques bem-sucedidos contra uma falha crítica do Node-RED, ferramenta usada em dispositivos comerciais, incluindo ICS/OT. Os ataques partiram do mesmo endereço IP e implantaram cargas maliciosas, entre elas um bot Linux e webshells persistentes.
Por que importa
Um atacante remoto, sem login, pode executar comandos com privilégios máximos no servidor e tomar controle total da instância. Segundo a VulnCheck, os atacantes procuram automaticamente instâncias sem autenticação e as exploram com uma única requisição HTTP.
O que fazer
Verifique hoje se alguma instância do Node-RED é acessível de fora da rede e restrinja esse acesso. Ative a autenticação (adminAuth) e revise os flows implantados em busca de nós exec ou endpoints HTTP inesperados.
Para o time técnico
- Afetados
- Node-RED · Node-RED (ferramenta de programação low-code baseada em flows, usada em vários setores, incluindo dispositivos ICS/OT comerciais). A Siemens encontrou a falha em dispositivos SIMATIC IoT2050 Advanced rodando Industrial OS com Node-RED instalado.
- Exploração
- Exploração em campo relatada pela VulnCheck: primeiro ataque bem-sucedido observado em 30 de outubro; até 1º de novembro, 15 ataques adicionais do mesmo IP, em AS8075 (rede da Microsoft), entregando um exploit completo, um bot Linux e webshells persistentes.
- Correção
- A Siemens afirma que o SIMATIC IoT2050 Advanced versão 4.3.4.1 e posteriores contêm correção. A fonte não cita correção para o Node-RED em si. Mitigação citada pela VulnCheck: ativar adminAuth, impedir acesso externo ao Node-RED e revisar flows.
- Vetor
- Interface HTTP do Node-RED sem autenticação (missing authentication). O atacante remoto não autenticado acessa nós de programação que executam comandos do sistema. A VulnCheck diz que instâncias sem adminAuth são exploradas automaticamente com uma única requisição HTTP.
- Mais detalhes
- Segundo a VulnCheck, o exploit implanta um flow do Node-RED, dispara automaticamente e baixa um binário de um servidor controlado pelo atacante, tudo atrás de três camadas de codificação. O comando de execução não verifica se a instalação teve sucesso; pelo nome do arquivo, a empresa acredita que os atacantes construíram payloads para múltiplas arquiteturas. A Siemens divulgou a falha em 11 de agosto.
Linha do tempo
Registro inicial: pesquisadores relatam ataques explorando a falha crítica do Node-RED para implantar cargas maliciosas.
Fontes 1 fonte
- Critical Node-RED Flaw Exploited in Attacks SecurityWeek
