Node-RED ya aparece en ataques contra entornos OT

VulnCheck detectó el 30 de octubre la explotación de CVE-2026-58115 contra un señuelo con Node-RED: una petición a la API de administración desplegó un flujo que descargaba y ejecutaba un binario Linux. El informe, publicado el 2 de noviembre, registra 16 eventos procedentes de la misma dirección hasta el día 1. No son 16 plantas identificadas; la telemetría describe lo que alcanzó una red de canarios.

Node-RED es un entorno de programación visual por flujos, usado para conectar eventos, dispositivos y servicios. En esta vulnerabilidad, la interfaz HTTP de administración permite crear flujos sin autenticación en las instalaciones afectadas. VulnCheck observó cómo un nodo de ejecución de comandos quedaba enlazado a un disparador automático: al desplegar el flujo, el sistema descargaba y lanzaba el binario sin que alguien tuviera que abrirlo después.

-InfraCrew dice: si el editor de flujos responde desde una red que no debería verlo, el problema no se arregla cambiando el nombre del flujo.-

Lo observado y lo que aún no sabemos

Una solicitud POST /flows desplegó el flujo y activó la descarga en el señuelo, que respondió como una instancia normal de Node-RED. El ataque no fue solo una exploración de puertos. El comando iba codificado en varias capas; el archivo se guardaba en /dev/shm, un sistema de archivos en memoria, y se ejecutaba separado del proceso que atendía la interfaz. VulnCheck no recuperó el binario, así que no atribuye funciones, persistencia ni objetivo final al programa.

La misma fuente contabilizó varios payloads y peticiones de webshell, además del bot Linux. También aclara que la IP de origen pertenecía a un rango de Microsoft, pero eso no identifica al operador: puede ser una máquina virtual alquilada o comprometida. La evidencia confirma explotación automatizada, no una campaña atribuida, una familia de malware identificada ni el compromiso de una planta concreta.

-InfraCrew dice: el contador de un canario sirve para detectar actividad; no sirve para inventariar víctimas.-

El alcance industrial tiene una frontera concreta

Siemens publicó en agosto el aviso SSA-834709 para SIMATIC IoT2050 Advanced con Industrial OS y Node-RED instalado. Afecta a versiones anteriores a 4.3.4.1; Siemens recomienda instalar esa versión o una posterior. El advisory asigna CVSS 10.0 y confirma que una petición remota no autenticada puede crear flujos capaces de ejecutar comandos con privilegios máximos en el servidor subyacente.

Ese alcance no convierte cada instalación de Node-RED en un producto Siemens afectado ni demuestra que el controlador de proceso conectado haya sido manipulado. El riesgo directo descrito está en el dispositivo que expone la interfaz: puede perder integridad o disponibilidad y convertirse en un punto de apoyo para moverse hacia otros sistemas. Un gateway de automatización no es necesariamente un PLC, aunque ambos compartan una red ICS/OT y el primero tenga acceso a datos o servicios sensibles.

Para equipos IoT2050 de la lista, el primer paso es comprobar modelo, sistema operativo, presencia de Node-RED y versión instalada; la corrección indicada es 4.3.4.1 o posterior. Siemens también contempla desinstalar Node-RED o endurecer la instalación como medidas de reducción de riesgo. En despliegues genéricos, revisa el control de acceso a la API, limita la administración a segmentos y operadores autorizados y busca flujos con nodos exec o endpoints HTTP inesperados. La versión y el producto determinan la acción: no hay aquí una cifra universal de Node-RED que sustituya el advisory del fabricante.

-InfraCrew dice: antes de retirar una pasarela de una línea, valida dependencias y ventana; dejar su consola abierta por comodidad tampoco es un plan de continuidad.-

Los catálogos KEV no son intercambiables: VulnCheck sitúa esta vulnerabilidad en el suyo y dice que no estaba en el catálogo KEV de CISA al publicar el análisis. Conviene conservar esa distinción en los sistemas de priorización: una detección de explotación por un investigador es evidencia útil, pero no cambia la fuente ni el alcance de cada catálogo. Para la respuesta a incidentes, comprueba registros de despliegue de flujos y cambios recientes, preserva evidencias antes de limpiar el dispositivo y coordina cualquier aislamiento con el responsable OT. El informe revisado no permite afirmar qué hacía el binario ni cuántas instalaciones reales fueron alcanzadas.

Diccionario de la Crew

flujo — Secuencia de nodos conectados que procesa eventos y ejecuta acciones dentro de Node-RED.
ICS/OT — Sistemas industriales y tecnologías que supervisan o controlan procesos físicos.
canario — Sistema señuelo instrumentado para registrar actividad maliciosa sin exponer un servicio de producción.
CVE — Identificador público asignado a una vulnerabilidad concreta.
API — Interfaz de software que permite consultar o modificar funciones de una aplicación.

Fuentes

VulnCheck — Exploitation Targeting Node-RED | https://www.vulncheck.com/blog/exploitation-targeting-node-red
Siemens ProductCERT — SSA-834709 | https://cert-portal.siemens.com/productcert/html/ssa-834709.html