Атакующие используют CVE-2026-58115 в Siemens SIMATIC IoT2050

Исследователи VulnCheck зафиксировали активную эксплуатацию критической уязвимости CVE-2026-58115 с оценкой CVSS 10.0 в устройствах Siemens SIMATIC IoT2050 Advanced. Ошибка в Node-RED на Industrial OS позволяет удалённому атакующему без аутентификации создавать вредоносные потоки и выполнять произвольный код на сервере с максимальными привилегиями.

Что известно об атаке

Siemens сообщила об уязвимости в августе 2026 года. Проблема возникает на устройствах SIMATIC IoT2050 Advanced с Industrial OS и установленным Node-RED: HTTP-интерфейс Node-RED не требует аутентификации для критической функции.

30 октября VulnCheck увидела попытки использовать CVE-2026-58115 против своей сети honeypot. По словам исследователя Патрика Гаррити, запрос содержал готовую цепочку эксплуатации: он разворачивал поток Node-RED, автоматически запускал его и скачивал бинарный файл с контролируемого атакующими сервера. Команды были скрыты тремя слоями кодирования.

Один из обнаруженных потоков запускал сценарий-обёртку, который через wget загружал Linux-бота для AMD64 с адреса 85.215.73[.]250. Если wget не срабатывал, применялся curl. Затем файл сохранялся как /dev/shm/.b и запускался.

Загрузка вредоносного кода и постоянный доступ

Позднее операторы перешли к двухэтапной схеме: wget скачивал со того же сервера другой сценарий с именем wget.sh. В отдельной попытке команды wget или curl обращались к 45.194.90[.]57:38472, получали полезную нагрузку .sys_update, сохраняли её как /tmp/.kworker и выполняли. Назначение файлов wget.sh и .kworker установить не удалось, поскольку исследователи не смогли их загрузить.

В ряде запросов загрузчик не использовался вовсе. Вместо этого вредоносный поток создавал входной HTTP-эндпоинт, например /cmd или путь со случайным именем, и связывал его с узлами function и exec. Такая конфигурация позволяет передавать команды в параметре запроса и выполнять их позднее.

VulnCheck отмечает, что этот вариант создаёт бэкдор для удалённого управления и сохраняет работоспособность, даже если размещённый в памяти имплант исчезает после перезагрузки.

Что следует сделать владельцам устройств

Siemens устранила CVE-2026-58115 в Industrial OS версии 4.3.4.1 и последующих версиях. Компания рекомендует удалить Node-RED, если он не нужен, либо усилить защиту установки: включить HTTPS, защитить редактор и административный API учётными данными или провайдером OAuth/OpenID, а также включить базовую аутентификацию для HTTP Nodes и Node-RED Dashboard.

Для бизнеса практический вывод прост: устройства SIMATIC IoT2050 Advanced с Node-RED следует без промедления сверить с исправленной версией, а доступ к интерфейсам Node-RED ограничить и защитить аутентификацией. Зафиксированная эксплуатация показывает, что открытый интерфейс может быть использован не только для загрузки вредоносного файла, но и для организации постоянного удалённого выполнения команд.