Falha sem autenticação no Node-RED foi explorada em ataque automático que instalava um programa e deixava porta de entrada

Uma falha de autenticação no Node-RED, uma ferramenta de programação por fluxos usada em automação, foi explorada em ataques automáticos a partir de 30 de outubro de 2026, segundo a VulnCheck, empresa de inteligência sobre vulnerabilidades.

Uma ferramenta de automação com porta aberta

O Node-RED tem um editor no navegador para ligar blocos de comando, e é usado em automação residencial, indústria, serviços públicos e saúde.

A falha, identificada como CVE-2026-58115 e atribuída pela Siemens, permite acessar sem login a interface administrativa das instalações que não têm a proteção de administração ligada.

Segundo a VulnCheck, a falha atinge o equipamento SIMATIC IoT2050 Advance, que embute o Node-RED em produtos de automação industrial.

Pela própria forma como a ferramenta funciona, um fluxo implantado pode executar comandos do sistema operacional assim que é ativado, sem nenhuma outra interação.

O primeiro ataque observado

A VulnCheck publicou a detecção da falha em 27 de outubro de 2026, e três dias depois um de seus sensores, chamado de canário, registrou a exploração de fato.

O ataque foi uma única requisição HTTP que implantou um fluxo com um nó de disparo e um nó de execução de comando, e o fluxo baixava e rodava um programa para Linux.

O servidor respondeu com o código de sucesso e uma nova revisão do fluxo, exatamente a resposta que uma instalação vulnerável daria, o que é a assinatura usada para registrar o ataque como bem-sucedido.

O comando do fluxo, um dropper que baixa e executa outro programa, vinha em camadas de codificação, para dificultar a detecção por filtros simples, e o arquivo baixado era gravado numa área temporária que fica na memória RAM, com um nome oculto.

O mesmo endereço IP, pertencente à rede da Microsoft, enviou 16 eventos contra essa falha entre 30 de outubro e 1º de novembro de 2026.

O que mudou depois

Na atualização de 1º de novembro, a VulnCheck registrou novas variantes, uma delas baixando um script de shell de outro servidor e outra salvando um programa com nome que imita um processo do kernel do Linux.

Algumas requisições não baixavam nenhum arquivo, e em vez disso criavam um endpoint HTTP dentro do fluxo, por meio do qual o invasor podia enviar comandos depois, uma porta de entrada que sobrevive ao reinício.

A VulnCheck não obteve os arquivos baixados, por isso não sabe se o programa é um canal de controle, um minerador de criptomoedas ou um bot de ataques de negação de serviço.

No mesmo período, o endereço testou outras sete falhas em produtos diferentes, o que a empresa lê como varredura oportunista e não como ataque direcionado a uma organização.

O que verificar e o que a perícia deve guardar

A primeira providência é conferir se a instalação do Node-RED pode ser alcançada de fora da rede, porque uma única requisição basta para implantar um fluxo.

Também é preciso revisar os fluxos implantados em busca de nós de execução de comando e de endpoints HTTP que ninguém cadastrou.

Para a perícia, o fluxo gravado na instalação é a principal evidência, e um fluxo que a equipe não criou aponta para o ponto de entrada.

Como o arquivo baixado para a memória some no reinício, a coleta da memória antes de desligar o equipamento tende a ser decisiva, e essa é uma análise própria a partir do relato da VulnCheck.