Chyba Node-RED v zariadeniach Siemens je už zneužívaná
VulnCheck zachytil zneužitie kritickej chyby CVE-2026-58115 v Node-RED na zariadeniach Siemens SIMATIC IoT2050 Advanced. Siemens vydal opravu vo verzii V4.3.4.1.
Chyba Node-RED CVE-2026-58115 s najvyšším skóre CVSS 10,0 bola podľa spoločnosti VulnCheck zneužitá proti jej monitorovaciemu canary systému. Zraniteľnosť sa týka zariadení SIMATIC IoT2050 Advanced s Industrial OS a nainštalovaným Node-RED. Siemens vydal opravu vo verzii V4.3.4.1.
Siemens zraniteľnosť popisuje ako chýbajúcu autentizáciu v HTTP rozhraní Node-RED. Neautentifikovaný vzdialený útočník môže podľa advisora vytvoriť škodlivý flow a spustiť ľubovoľný kód s maximálnymi oprávneniami. Ohrozené sú verzie SIMATIC IoT2050 Advanced staršie než V4.3.4.1.
Chyba Node-RED bola zachytená v canary prostredí
VulnCheck uviedol, že 30. októbra zaznamenal kompletné zneužitie zraniteľnosti vo svojom canary systéme. Útok nasadil flow určený na stiahnutie a spustenie linuxového binárneho súboru. Podľa telemetrie VulnCheck stačila na zneužitie jediná HTTP požiadavka.
Do 1. novembra spoločnosť z rovnakej IP adresy zaznamenala ďalších 15 pokusov. Medzi pozorovanými variantmi boli flowy vytvárajúce perzistentné webshellové rozhrania. VulnCheck označil stiahnutý binárny súbor za bot, jeho funkcia však nebola nezávisle overená.
IP adresa použitá pri pokusoch patrila do ASN Microsoftu. Táto okolnosť sama osebe nepotvrdzuje zapojenie Microsoftu ani identitu útočníka.
Dotknuté konfigurácie a oprava
Chyba sa netýka každého zariadenia z radu IoT2050 automaticky. Podľa Siemensu je relevantná pre model SIMATIC IoT2050 Advanced, ak používa Industrial OS a má nainštalovaný Node-RED. Organizácie by mali overiť verziu systému aj prítomnosť tejto komponenty.
Siemens opravil problém vo verzii V4.3.4.1 a novšej. Pre systémy, ktoré zatiaľ nemožno aktualizovať, výrobca odporúča odstrániť Node-RED alebo obmedziť sieťový prístup k zariadeniu. Význam má najmä kontrola inštalácií dostupných z internetu.
Správcovia by mali preveriť aj neočakávané exec nody vo flowoch Node-RED a neznáme HTTP endpointy, ktoré môžu signalizovať pokus o vytvorenie trvalého vzdialeného prístupu.
Potvrdené zneužitie, nie potvrdené incidenty v prevádzkach
Pozorované útoky sú potvrdené proti canary infraštruktúre VulnCheck. K dispozícii nie je potvrdenie, že pri nich došlo ku kompromitácii reálnych priemyselných prevádzok alebo zariadení zákazníkov. Zistenie však ukazuje, že chyba bola prakticky zneužitá v testovacom monitorovacom systéme.
Riziko je zvlášť relevantné v OT prostrediach. Kompromitované edge zariadenie môže útočníkovi poskytnúť bod na vzdialené spúšťanie príkazov a nasadenie perzistentného prístupu v prevádzkovej sieti.
Ďalší vývoj ukáže, či bude CVE-2026-58115 zaradená do katalógu CISA Known Exploited Vulnerabilities, či sa objavia nezávisle potvrdené kompromitácie mimo canary systémov a či Siemens doplní svoj advisory o ďalšie indikátory kompromitácie.
Zdroje
- Siemens ProductCERT — SSA-834709 – Potvrdzuje rozsah zasiahnutých verzií, CVSS 10,0, možnosť neautentifikovaného spustenia kódu, opravu V4.3.4.1 a odporúčané mitigácie.
- VulnCheck Blog – VulnCheck uvádza, že jeho canary 30. októbra zachytil zneužitie CVE-2026-58115 s nasadením flowu, ktorý stiahol a spustil linuxový binárny súbor.
- SecurityWeek – Koroboruje telemetriu VulnCheck o ďalších pokusoch z rovnakej IP adresy, payloadových variantoch a perzistentných webshelloch.
Overené a aktualizované: 03. 11. 2026 16:18
