Hackers exploram falha crítica em dispositivos IoT da Siemens para instalar backdoors

Uma vulnerabilidade crítica nos dispositivos industriais Siemens SIMATIC IoT2050 Advanced está sendo explorada ativamente por hackers para executar comandos remotamente e instalar componentes maliciosos. A falha, identificada como CVE-2026-58115, recebeu pontuação máxima de 10.0 na escala CVSS e permite que invasores executem código com privilégios elevados, sem necessidade de autenticação.

A exploração foi identificada pela empresa de segurança VulnCheck, que detectou tentativas de ataque contra sua rede de honeypots, ambientes utilizados para monitorar atividades maliciosas.

O problema afeta dispositivos SIMATIC IoT2050 Advanced que executam o Industrial OS com Node-RED instalado. A vulnerabilidade está relacionada à ausência de autenticação na interface HTTP do Node-RED, permitindo que um invasor remoto crie fluxos maliciosos e execute código arbitrário no sistema com privilégios máximos.

A Siemens divulgou a vulnerabilidade em agosto de 2026 e disponibilizou correções na versão 4.3.4.1 e posteriores.

Como funciona a exploração

Em 30 de outubro de 2026, a VulnCheck identificou tentativas de exploração da CVE-2026-58115 destinadas a instalar um bot Linux nos dispositivos vulneráveis.

Segundo Patrick Garrity, pesquisador da VulnCheck, os invasores utilizaram uma requisição que continha toda a cadeia de exploração. O ataque criava um fluxo malicioso no Node-RED, acionava sua execução automaticamente e baixava um arquivo executável de um servidor controlado pelos hackers.

A operação utilizava três camadas de codificação para ocultar os comandos maliciosos.

O fluxo criado pelos invasores executava um script shell responsável por utilizar o comando wget para baixar um binário de botnet destinado à arquitetura AMD64, hospedado no endereço 85.215.73[.]250.

Caso o download falhasse, o script recorria ao curl como alternativa. O arquivo era armazenado em /dev/shm/.b, um diretório baseado em memória, e executado no dispositivo comprometido.

Posteriormente, os operadores da campanha modificaram a estratégia, adotando uma cadeia de ataque em duas etapas. Nesse novo procedimento, o comando wget passou a baixar um segundo script, identificado como wget.sh, hospedado no mesmo servidor.

Hackers utilizam arquivos disfarçados de componentes do Linux

A investigação também identificou outra tentativa de exploração que utilizava os comandos wget e curl para acessar o endereço 45.194.90[.]57:38472.

O objetivo era baixar um payload chamado .sys_update, salvá-lo no sistema como /tmp/.kworker e executá-lo.

O nome escolhido buscava fazer o arquivo parecer um componente legítimo do kernel Linux, dificultando sua identificação durante análises superficiais.

Entretanto, os pesquisadores não conseguiram recuperar os arquivos wget.sh e .kworker, impedindo a determinação de suas funcionalidades exatas.

Backdoors permitem execução remota de comandos

Além das tentativas de instalar binários maliciosos, a VulnCheck identificou uma técnica que permite estabelecer acesso remoto persistente aos dispositivos.

Em algumas requisições, os invasores não tentavam baixar arquivos. Em vez disso, criavam fluxos no Node-RED que disponibilizavam endpoints HTTP, como /cmd ou caminhos definidos aleatoriamente.

Esses endpoints eram conectados a nós de função e execução de comandos, permitindo que os hackers enviassem instruções ao sistema por meio de parâmetros em requisições HTTP.

Segundo Garrity, essa abordagem funciona como um backdoor capaz de executar comandos arbitrários posteriormente, sem exigir a instalação imediata de um malware tradicional.

A técnica também oferece uma vantagem operacional aos invasores: o backdoor pode permanecer disponível mesmo quando um implante armazenado em memória é perdido após a reinicialização do dispositivo.

Siemens recomenda atualização e proteção do Node-RED

A Siemens corrigiu a CVE-2026-58115 na versão 4.3.4.1 do software, recomendando que os administradores atualizem os dispositivos afetados.

Como medidas adicionais de proteção, a fabricante orienta remover o Node-RED quando ele não for necessário ou reforçar sua configuração de segurança.

As recomendações incluem habilitar conexões HTTPS, proteger o editor e a API administrativa com autenticação por credenciais ou provedores OAuth/OpenID e aplicar autenticação básica aos nós HTTP e ao painel do Node-RED.

A exploração ativa identificada pela VulnCheck demonstra que dispositivos industriais com interfaces administrativas expostas podem ser utilizados como pontos de entrada para execução remota de comandos e instalação de backdoors.

Embora as tentativas tenham sido observadas em honeypots, o relatório não confirma quantos dispositivos reais foram comprometidos ou se os invasores conseguiram estabelecer acesso persistente em ambientes de produção.