Attackers exploit critical Node-RED flaw to deploy Linux bot and backdoors (CVE-2026-58115)

Node‑RED es una herramienta de programación basada en flujos que se incluye en varios productos de control industrial, entre ellos el Siemens SIMATIC IoT2050 Advanced. La vulnerabilidad identificada como CVE‑2026‑58115, con puntuación CVSS 10.0, permite a un atacante no autenticado crear flujos maliciosos y ejecutar código arbitrario con privilegios máximos en versiones anteriores a la 4.3.4.1.

VulnCheck detectó que, a partir del 30 de octubre 2026, la falla se está explotando de forma activa. El atacante envía un flujo que combina los nodos “inject” y “exec” para descargar un binario llamado bot‑linux‑amd64 desde un servidor controlado, lo guarda en una ubicación de memoria y lo ejecuta en segundo plano. La petición provino de una dirección IP dentro de la red de Microsoft que se geolocaliza en Brasil y se repitió 16 veces entre el 30 de octubre y el 1 de noviembre, acompañada de intentos contra otras ocho CVE en diferentes productos.

Si su empresa utiliza Node‑RED, revise hoy mismo si la instancia es accesible desde Internet; aplique la actualización a la versión 4.3.4.1 o posterior, o desinstale la herramienta si no es esencial. Además, habilite HTTPS, configure autenticación basada en credenciales u OAuth/OpenID para el editor y la API de administración, y establezca detecciones de tráfico sospechoso para mitigar futuros intentos.

Qué significa para una pyme colombiana y cucuteña: Verifique si algún equipo (por ejemplo, gateways IoT, Raspberry Pi o servidores de automatización) tiene Node‑RED instalado y expuesto; si lo tiene, actualícelo a la versión 4.3.4.1 o superior, o elimínelo, y active autenticación y HTTPS para evitar que atacantes aprovechen la vulnerabilidad.