Hackers exploram falha avaliação em aparelhos IoT da Siemens pra instalar backdoors

Uma vulnerabilidade avaliação nos aparelhos industriais Siemens SIMATIC IoT2050 Advanced está sendo explorada ativamente por hackers pra executar comandos remotamente e instalar componentes maliciosos. A falha, identificada como CVE-2026-58115, recebeu nota maxima de 10.0 na escala CVSS e possibilita que invasores executem codigo com privilégios elevados, sem necessidade de autenticação.A exploracao foi identificada pela companhia de segurança VulnCheck, que detectou tentativas de ataque de encontro a Uma vulnerabilidade avaliação nos aparelhos industriais Siemens SIMATIC IoT2050 Advanced está sendo explorada ativamente por hackers pra executar comandos remotamente e instalar componentes maliciosos. A falha, identificada como CVE-2026-58115, recebeu nota maxima de 10.0 na escala CVSS e possibilita que invasores executem codigo com privilégios elevados, sem necessidade de autenticação.

A exploracao foi identificada pela companhia de segurança VulnCheck, que detectou tentativas de ataque de encontro a sua rede de honeypots, cenarios utilizados pra monitorar atividades maliciosas. O problema impacta aparelhos SIMATIC IoT2050 Advanced que executam o Industrial OS com Node-RED instalado. A vulnerabilidade está relacionada à ausência de autenticação na interface HTTP do Node-RED, possibilitando que um invasor remoto crie fluxos maliciosos e execute codigo arbitrário no sistema com privilégios máximos.

A Siemens revelou a vulnerabilidade em agosto de 2026 e disponibilizou correções na edição 4.3.4.1 e posteriores. Em 30 de outubro de 2026, a VulnCheck identificou tentativas de exploracao da CVE-2026-58115 destinadas a instalar um bot Linux nos aparelhos vulneráveis. Segundo Patrick Garrity, pesquisador da VulnCheck, os invasores utilizaram uma requisição que continha toda a cadeia de exploracao.

O ataque concebia um fluxo malicioso no Node-RED, acionava sua execução automaticamente e baixava um arquivo executável de um servidor controlado pelos hackers. A operacao utilizava três camadas de codificação pra ocultar os comandos maliciosos. O fluxo concebido pelos invasores executava um script shell responsável por utilizar o comando wget pra baixar um binário de botnet destinado à arquitetura AMD64, hospedado no endereço 85.215.73[.]250.

Caso o download falhasse, o script recorria ao curl como alternativa. O arquivo era armazenado em /desenvolvedor/shm/.b, um diretório baseado em memoria, e executado no aparelho comprometido. Mais tarde, os operadores da campaign modificaram a est