Aktivna eksploatacija kritične greške u Siemens IoT2050 uređajima
Napadači aktivno koriste CVE-2026-58115, ranjivost ocenjenu sa CVSS 10.0 u uređajima Siemens SIMATIC IoT2050 Advanced koji rade na Industrial OS-u sa instaliranim Node-RED-om. Propust u Node-RED HTTP interfejsu omogućava neautentifikovanom udaljenom napadaču da kreira zlonamerne tokove i izvrši proizvoljan kod na osnovnom serveru sa najvišim privilegijama.
Potpuna eksploatacija zabeležena u mreži mamaca
VulnCheck je do 30. oktobra 2026. u svojoj mreži honeypot sistema uočio pokušaje zloupotrebe ove greške za preuzimanje i pokretanje Linux bota. Zabeleženi zahtev sadržao je kompletan lanac napada: postavljao je Node-RED tok, automatski ga pokretao i preuzimao binarni fajl sa servera pod kontrolom napadača, pri čemu je sadržaj bio sakriven iza tri sloja kodiranja.
Prvobitni tok pokretao je omotač u obliku shell skripte. Skripta je naredbom wget preuzimala binarni fajl za AMD64 arhitekturu sa adrese 85.215.73[.]250, dok je curl korišćen kao rezervna opcija ako wget ne uspe. Fajl se čuvao kao /dev/shm/.b i potom izvršavao.
U kasnijim zahtevima napadači su prešli na dvostepeni postupak: wget preuzima dodatnu skriptu wget.sh sa istog servera. U drugom slučaju zabeleženo je preuzimanje sadržaja sa 45.194.90[.]57:38472. Korisni teret nazvan .sys_update čuvan je kao /tmp/.kworker, imenom koje pokušava da liči na bezopasan proces jezgra, a zatim se izvršavao. Funkcionalnost datoteka wget.sh i .kworker nije utvrđena jer nisu bile dostupne za preuzimanje.
Trajniji pristup kroz Node-RED tokove
Deo zahteva nije sadržao preuzimač malvera. Umesto toga, zlonamerni tok izlaže HTTP ulaznu tačku, na primer /cmd ili nasumično imenovanu putanju, povezanu preko funkcijskog čvora sa exec čvorom uz uključenu opciju addpay. Napadač zatim može da šalje proizvoljne komande kroz parametar upita. Takav pristup ostaje dostupan i ako se implant u memoriji izgubi nakon ponovnog pokretanja uređaja.
Ažuriranje i zaštita administrativnih interfejsa
Siemens je ranjivost ispravio u verziji Industrial OS 4.3.4.1 i novijim. Kao mere ublažavanja navodi uklanjanje Node-RED-a kada nije potreban ili njegovo dodatno učvršćivanje: uključivanje HTTPS pristupa, zaštitu editora i administratorskog API-ja autentifikacijom zasnovanom na kredencijalima ili OAuth/OpenID provajderu, kao i osnovnu autentifikaciju za HTTP čvorove i Node-RED Dashboard.
Za organizacije koje koriste ove industrijske uređaje prioritet je inventar sistema sa Node-RED-om, potvrda verzije Industrial OS-a i nadogradnja na 4.3.4.1 ili noviju verziju. Tamo gde Node-RED mora da ostane uključen, poslovni zaključak je da administrativni i HTTP interfejsi moraju biti zaštićeni pre izlaganja mreži.