VulnCheck detectó el 30 de octubre una explotación real de esta falla de autenticación en la interfaz HTTP de Node-RED, que Siemens puntuó 10.0 y corrigió en SIMATIC IoT2050 Advanced V4.3.4.1. Un solo POST /flows bastó para desplegar nodos inject y exec y descargar un binario desde otro servidor. VulnCheck registró 16 eventos desde la misma IP entre el 30 de octubre y el 1 de noviembre, con webshells y varios payloads; no analizó el binario. Aviso de Siemens: cert-portal.siemens.com/productcert/html/ssa-834709.html
El Resumen (Sin rodeos)
VulnCheck detectó el 30 de octubre una explotación real de CVE-2026-58115, una falla de autenticación en la interfaz HTTP de Node-RED usada en equipos de Siemens; la empresa la puntuó 10.0 — nota máxima — y la corrigió en SIMATIC IoT2050 Advanced V4.3.4.1. Con un solo POST /flows bastó para desplegar nodos inject y exec y descargar un binario desde otro servidor. VulnCheck registró 16 eventos desde la misma IP entre el 30 de octubre y el 1 de noviembre, con webshells y varios payloads; el binario no se analizó. Aviso de Siemens: cert-portal.siemens.com.
Lo primero que se me viene a la mente
Un POST y ya tienes bots Linux en la caja: cuando la puntuación es 10.0, la distancia entre «falla» y «apocalipsis» es un solo request. Lo de Node-RED en equipos industriales Siemens lo pone más serio todavía — esto no es una web de noticias, es infraestructura que controla cosas físicas. Y los 16 eventos desde una sola IP sugieren que alguien estaba probando con método, no lanzando cebo al azar. El binario sin analizar es el clásico «mejor no preguntes qué hizo exactamente».
¿Quién es quién en la noticia?
- VulnCheck — La firma que detectó y reportó la explotación en vivo.
- CVE-2026-58115 — La falla: autenticación rota en la interfaz HTTP de Node-RED.
- Node-RED — La herramienta de flujos usada en equipos industriales; su API era la puerta.
- Siemens y SIMATIC IoT2050 — El fabricante y el equipo afectado; corrigió en la V4.3.4.1.
- Webshells y payloads — Lo que el atacante dejó instalado según los registros de VulnCheck.
Compartir