Con una sola solicitud HTTP, Node-RED ejecuta código de terceros: ciberdelincuentes atacan sistemas industriales.

Para infectar un dispositivo Linux industrial, a los atacantes les bastó con una sola solicitud HTTP. La empresa VulnCheck registró intentos reales de explotación de una vulnerabilidad crítica en Node-RED, una herramienta para la automatización de procesos que usan, entre otros, las empresas industriales. Los atacantes envían flujos maliciosos capaces de descargar y ejecutar código ajeno sin autenticación.

El primer ataque se detectó el 30 de octubre de 2026 mediante un servidor señuelo. La vulnerabilidad CVE-2026-58115 recibió la puntuación máxima de 10 según CVSS 3.1 y CVSS 4.0. El problema está relacionado con la falta de autenticación obligatoria en la interfaz HTTP de Node-RED. A través de la API administrativa, un usuario externo puede crear flujos y ejecutar comandos del sistema con los máximos privilegios.

El mecanismo del ataque resultó ser extremadamente simple. El atacante envía una solicitud POST a la ruta /flows y crea una cadena compuesta por dos componentes estándar de Node-RED. El nodo inject inicia automáticamente el flujo un segundo después de su despliegue, y el nodo exec ejecuta un comando de shell de Linux. No se requieren acciones adicionales del administrador. El servidor señuelo de VulnCheck aceptó la solicitud y devolvió HTTP 200, confirmando la eficacia de la cadena en un entorno de prueba.

El comando malicioso estaba oculto tras varias capas de codificación, incluido Base64. Tras descifrarlo se comprobó que el flujo descarga el ejecutable bot-linux-amd64 mediante wget o curl. El programa se guarda en /dev/shm/.b, una sección de la memoria volátil de Linux, y se ejecuta en un proceso separado. Este método ayuda a evitar la escritura en disco persistente. Los especialistas no obtuvieron el archivo ejecutable, por lo que la finalidad del malware sigue siendo desconocida.

Del 30 de octubre al 1 de noviembre, VulnCheck registró 16 intentos de explotación desde una dirección IP de la infraestructura en la nube de Microsoft. En total, la misma dirección apareció en 125 interacciones con las trampas, relacionadas con ocho vulnerabilidades distintas. La actividad recuerda a una búsqueda masiva y automatizada de servidores accesibles. Entre las variantes adicionales de la carga útil se hallaron web shells que permiten enviar comandos del sistema vía HTTP incluso después de completada la primera intrusión.

La amenaza no afecta solo a servidores Linux convencionales. Node-RED forma parte de soluciones industriales, incluido Siemens SIMATIC IoT2050 Advanced. Anteriormente se detectó un problema similar de acceso a Node-RED en la plataforma FUXA para automatización industrial. Sin embargo, en el nuevo informe no hay confirmaciones de intrusiones en entornos de producción reales. Las solicitudes registradas llegaron a servidores señuelo y las consecuencias de una posible infección de equipos en funcionamiento aún no se han establecido.

Siemens publicó una corrección el 11 de agosto de 2026. Son vulnerables los dispositivos SIMATIC IoT2050 Advanced con Industrial OS y con Node-RED en versiones anteriores a V4.3.4.1. El fabricante recomienda actualizar el sistema, eliminar Node-RED innecesario o reforzar la protección del acceso. VulnCheck también aconseja cerrar la interfaz administrativa a Internet y revisar los flujos en busca de nodos exec desconocidos y manejadores HTTP. La vulnerabilidad ya fue incluida en el catálogo de problemas explotables VulnCheck KEV, pero al momento de la publicación no figuraba en la lista equivalente de CISA.