A empresa especializada em inteligência de vulnerabilidades VulnCheck revelou a detecção de ataques ativos explorando uma vulnerabilidade de segurança crítica na ferramenta de programação de baixo código Node-RED. A vulnerabilidade, que detém o código CVE-2026-58115, recebeu uma classificação de gravidade máxima (10/10) devido à facilidade de exploração e ao seu impacto severo.
Natureza da vulnerabilidade e seu impacto
O problema reside na ausência de autenticação na interface HTTP do Node-RED, o que concede a atacantes não autorizados a capacidade de acessar nós de programação e executar comandos do sistema com privilégios totais. Esta ferramenta é amplamente utilizada em aplicações baseadas em eventos, incluindo sistemas de controle industrial (ICS) e sistemas de tecnologia operacional (OT).
A Siemens revelou esta vulnerabilidade em 11 de agosto passado, após descobri-la nos dispositivos SIMATIC IoT2050 Advanced, e lançou atualizações de segurança para as versões 4.3.4.1 e posteriores para corrigir esta falha.
Detalhes dos ataques observados
De acordo com os dados da VulnCheck, os ataques reais começaram em 30 de outubro, tendo sido detectado um ataque proveniente de um endereço IP pertencente à rede da Microsoft (AS8075). Os ataques incluíram uma série de etapas técnicas:
- Implantação de um fluxo (Flow) malicioso dentro do Node-RED.
- Execução automática do fluxo para baixar arquivos binários de um servidor controlado pelo atacante.
- Uso de técnicas de criptografia de múltiplas camadas para ocultar o payload de software.
Até o dia 1 de novembro, foram detectados 15 ataques adicionais da mesma fonte, nos quais os atacantes executaram payloads variados, incluindo bots de Linux e webshells, garantindo-lhes acesso contínuo aos servidores comprometidos e a execução de comandos arbitrários.
O que isso significa para os usuários?
Estes ataques confirmam que os atacantes estão realizando varreduras ativas na internet em busca de instâncias do Node-RED que carecem de configurações de autenticação (adminAuth). Para proteger os sistemas, os especialistas recomendam o seguinte:
- Verificar a possibilidade de acesso a instâncias do Node-RED de fora da rede interna e restringir esse acesso imediatamente.
- Revisar os fluxos (flows) implantados em busca de quaisquer nós de execução (exec nodes) incomuns ou endpoints HTTP suspeitos.
- Garantir que todos os dispositivos que dependem do Node-RED, especialmente em ambientes industriais, sejam atualizados para as versões mais recentes disponibilizadas pelos fabricantes.