Por Canuto  

VulnCheck registró ataques que aprovechan una falla de máxima severidad en Node-RED para entregar un bot de Linux. El riesgo aumenta cuando la interfaz de programación queda accesible desde internet, especialmente en entornos industriales.
***

  • La vulnerabilidad CVE-2026-58115 recibió una puntuación CVSS de 10 y permite crear flujos maliciosos sin autenticación en dispositivos Siemens afectados.
  • VulnCheck observó 16 intentos contra Node-RED entre el 30 de octubre y el 1 de noviembre, además de actividad contra otras vulnerabilidades.
  • Los investigadores no recuperaron el binario del malware y describen la actividad como un escaneo oportunista, no como un ataque dirigido.

Una falla crítica en Node-RED abre la puerta a malware de Linux en entornos industriales

Una vulnerabilidad de máxima severidad en Node-RED está siendo explotada para desplegar un archivo que descarga y ejecuta un bot de Linux, según investigadores de VulnCheck. La actividad observada muestra cómo una interfaz de programación accesible desde internet puede convertirse en una vía para ejecutar comandos en dispositivos industriales y otros sistemas conectados.

El problema, identificado como CVE-2026-58115, recibió una puntuación perfecta de 10 sobre 10 en la escala CVSS. Siemens asignó ese identificador en agosto para describir el fallo en dispositivos afectados, cuyos paneles HTTP de Node-RED no exigen autenticación, de acuerdo con la información difundida por The Register. El registro de CVE identifica entre los productos afectados al SIMATIC IoT2050 Advanced, en versiones anteriores a la V4.3.4.1.

Una interfaz sin autenticación deja abierta la ejecución

Node-RED es una herramienta de programación visual basada en flujos, construida sobre Node.js y utilizada para conectar procesos y automatizar tareas. Su presencia en productos comerciales, entre ellos Siemens SIMATIC IoT2050, también la sitúa en contextos de tecnología operativa e infraestructura crítica, donde un dispositivo conectado puede cumplir funciones relacionadas con procesos físicos.

En los equipos Siemens afectados, la interfaz HTTP de Node-RED no impone autenticación, según la descripción del fallo. Esa condición permite que un atacante remoto sin credenciales acceda a nodos de programación capaces de ejecutar comandos del sistema en el dispositivo, una combinación que convierte una herramienta de automatización en una posible puerta de entrada.

La explotación puede construirse con dos nodos integrados en Node-RED, explicó Patrick Garrity, investigador de VulnCheck. El nodo inject genera un mensaje según un horario o cuando se inicia el flujo, mientras que exec ejecuta comandos de shell; conectados entre sí, pueden disparar una instrucción al implementar el flujo.

Garrity describió el mecanismo como trivial de convertir en arma porque el flujo puede ejecutar el comando sin una interacción adicional después de su implementación. Esto no significa que cualquier instalación de Node-RED esté automáticamente comprometida: el riesgo descrito depende de la exposición de la interfaz y de las condiciones concretas de los dispositivos afectados.

VulnCheck detectó intentos y un archivo para Linux

VulnCheck dijo que uno de sus sistemas canario detectó la explotación el 30 de octubre de 2026. Según Garrity, el actor envió el flujo de explotación y el componente de descarga en una sola solicitud HTTP de tipo POST /flows, en lugar de limitarse a sondear el servicio para comprobar si estaba disponible.

La actividad observada procedía de la dirección IP 4.201.105[.]116, alojada en la red AS8075 de Microsoft y localizada en Brasil, según la investigación. Entre el 30 de octubre y el 1 de noviembre, esa dirección intentó explotar la falla de Node-RED en 16 ocasiones, de acuerdo con los registros de los investigadores.

El archivo señalado en el flujo se llama bot-linux-amd64, un nombre que apunta a un programa malicioso dirigido a Linux en procesadores AMD64. Sin embargo, VulnCheck no recuperó el binario ni los scripts de las etapas posteriores, por lo que Garrity advirtió que no podían determinar qué acciones ejecutaría el malware después de iniciarse.

El nombre también deja abierta la posibilidad de que el operador disponga de variantes para otros sistemas o arquitecturas, aunque los investigadores no confirmaron la existencia de esas versiones. Sin el archivo para analizar, no es posible atribuirle capacidades específicas, establecer qué datos buscaría o afirmar que haya afectado procesos industriales concretos.

El patrón apunta a un escaneo amplio, no a un blanco único

La dirección observada no se limitó a CVE-2026-58115: en la red más amplia de sistemas canario, VulnCheck registró 125 intentos contra ocho vulnerabilidades diferentes. Esa combinación de pruebas contra fallos nuevos y antiguos llevó a Garrity a describir la actividad como un escaneo masivo oportunista, más que como una operación dirigida contra una organización determinada.

Entre los objetivos apareció CVE-2019-17558, una vulnerabilidad de Apache Solr de siete años de antigüedad. La información de VulnCheck también relaciona esa falla con productos como Camunda, Gitea, MLflow, Traefik y Joomla, además de Node-RED en el conjunto de servicios examinados; la alerta no indica que todos ellos hayan sido comprometidos.

En uno de los intentos, los investigadores observaron una carga distinta que apuntaba a un servidor separado, identificado como 85.215.73[.]250. Como no contaban con telemetría adicional sobre esa URL, no pudieron establecer qué alojaba ni qué programa se habría descargado desde ese equipo.

La separación entre el sistema que envió el intento de explotación y el servidor de descarga sugiere una estructura de escaneo e infección, según Garrity. En ese esquema probable, los equipos que localizan y explotan instalaciones vulnerables obtienen el implante desde otra máquina dedicada, aunque la falta de datos impide confirmar todos los pasos de la operación.

La exposición de sistemas OT eleva el impacto potencial

La tecnología operativa, conocida como OT, y los sistemas de control industrial, o ICS, gestionan o supervisan procesos vinculados con equipos e infraestructura. Por eso, una intrusión en estos entornos puede tener consecuencias más allá de la interrupción de un servicio digital, aunque en este caso los investigadores no reportaron daños físicos ni confirmaron que el bot detectado hubiera alterado operaciones industriales.

La preocupación se relaciona con la exposición de estos sistemas a internet, que puede ofrecer a los atacantes una ruta remota hacia dispositivos que no deberían estar accesibles públicamente. La fuente menciona como antecedentes ataques recientes contra controladores de refrigeración en Europa y sistemas de agua en al menos 12 estados de Estados Unidos, sin afirmar que esos incidentes estén vinculados con la vulnerabilidad de Node-RED.

Node-RED cumple una función legítima de automatización y programación, pero la facilidad para conectar nodos que ejecutan acciones también hace relevante el control de acceso a su interfaz. Si un panel que puede ejecutar comandos queda expuesto sin autenticación, un actor remoto podría usar los mismos mecanismos de automatización para ordenar tareas no autorizadas.

Por esa razón, la recomendación de Garrity es comprobar si Node-RED puede alcanzarse desde fuera de la red, aplicar las actualizaciones disponibles e implementar detecciones que ayuden a reducir el riesgo. La revisión debe considerar también dónde se ejecuta la herramienta, pues el investigador subrayó que puede estar presente incluso dentro de entornos OT.

Qué se sabe y qué permanece sin confirmar

La evidencia publicada acredita intentos de explotación y el envío de un flujo asociado con la descarga de un archivo para Linux, pero no demuestra por sí sola una infección exitosa. VulnCheck no obtuvo el binario y, por tanto, no pudo analizar su comportamiento ni detallar el alcance de las acciones que habría realizado en los dispositivos objetivo.

La empresa incorporó el fallo a su catálogo de Vulnerabilidades Conocidas Explotadas, según la información disponible en el reporte. Al momento de publicación de la noticia, sin embargo, CVE-2026-58115 todavía no aparecía en el catálogo KEV de la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, una diferencia que conviene mantener clara al describir el estado de la alerta.

Los datos conocidos también limitan las conclusiones sobre quién está detrás de la actividad y cuál era su objetivo final. La IP localizada en Brasil y su pertenencia a la red AS8075 de Microsoft describen el origen observado por los investigadores, pero no identifican por sí mismos al operador ni prueban que el responsable actuara desde ese país.

La prioridad para administradores y operadores es reducir la exposición del panel y revisar las medidas de actualización y detección, sin asumir que cada intento haya culminado en una intrusión. La alerta muestra que una falla de severidad máxima puede convertir una interfaz de programación accesible en un canal para distribuir malware, mientras la ausencia del binario deja pendientes las preguntas sobre su función y sus efectos.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados