VulnCheck сообщила об активной эксплуатации уязвимости CVE-2026-58115 в устройствах Siemens SIMATIC IoT2050 Advanced. Её оценка по CVSS — 10,0, максимальная. Под угрозой конфигурации с Industrial OS и установленным Node-RED.
Проблема связана с отсутствием аутентификации в HTTP-интерфейсе Node-RED. Удалённому злоумышленнику не нужны учётные данные: он может добавить вредоносный поток Node-RED и запустить произвольный код на устройстве с максимальными привилегиями.
Siemens описала уязвимость в предупреждении, опубликованном в августе 2026 года. Компания подтвердила, что атакующий без аутентификации может создавать вредоносные потоки и выполнять произвольный код. Исправление включено в версию 4.3.4.1 и более поздние.
Исследователь VulnCheck Патрик Гаррити назвал обнаруженный запрос «полноценной эксплуатацией»: он разворачивал поток Node-RED, автоматически запускал его и загружал двоичный файл с сервера злоумышленников. Данные в запросе были закодированы в три слоя.
Первоначальный поток запускал оболочку shell-скрипта. Та скачивала с адреса 85.215.73[.]250 ботнет-файл для AMD64 с помощью wget; если команда не срабатывала, использовался curl. Файл сохранялся как
Позднее атакующие перешли к двухэтапной загрузке: команда wget получала с того же сервера скрипт
Содержимое
Некоторые запросы обходились без загрузчика и полезной нагрузки. Вместо этого поток Node-RED открывал HTTP-точку входа, например
Такой поток превращает запрос к адресу в канал удалённого выполнения команд: атакующий передаёт команду через параметр запроса и запускает её позднее. Гаррити отметил, что этот бэкдор может сохраниться даже после перезагрузки, если установленный в памяти имплант исчезнет.
Изображение носит иллюстративный характер
Проблема связана с отсутствием аутентификации в HTTP-интерфейсе Node-RED. Удалённому злоумышленнику не нужны учётные данные: он может добавить вредоносный поток Node-RED и запустить произвольный код на устройстве с максимальными привилегиями.
Siemens описала уязвимость в предупреждении, опубликованном в августе 2026 года. Компания подтвердила, что атакующий без аутентификации может создавать вредоносные потоки и выполнять произвольный код. Исправление включено в версию 4.3.4.1 и более поздние.
Исследователь VulnCheck Патрик Гаррити назвал обнаруженный запрос «полноценной эксплуатацией»: он разворачивал поток Node-RED, автоматически запускал его и загружал двоичный файл с сервера злоумышленников. Данные в запросе были закодированы в три слоя.
Первоначальный поток запускал оболочку shell-скрипта. Та скачивала с адреса 85.215.73[.]250 ботнет-файл для AMD64 с помощью wget; если команда не срабатывала, использовался curl. Файл сохранялся как
/dev/shm/.b, после чего запускался. Позднее атакующие перешли к двухэтапной загрузке: команда wget получала с того же сервера скрипт
wget.sh. В другом запросе wget или curl обращались к 45.194.90[.]57:38472 за файлом .sys_update. Его сохраняли в /tmp/.kworker, маскируя под безобидный процесс ядра, а затем выполняли. Содержимое
wget.sh и .kworker исследователям получить не удалось, поэтому назначение этих файлов остаётся неизвестным. Сам факт загрузки и запуска вредоносного кода подтверждён, но приписывать этим компонентам конкретные функции пока нельзя. Некоторые запросы обходились без загрузчика и полезной нагрузки. Вместо этого поток Node-RED открывал HTTP-точку входа, например
/cmd или путь со случайным именем, и соединял её через узел function с узлом exec, где была включена опция addpay. Такой поток превращает запрос к адресу в канал удалённого выполнения команд: атакующий передаёт команду через параметр запроса и запускает её позднее. Гаррити отметил, что этот бэкдор может сохраниться даже после перезагрузки, если установленный в памяти имплант исчезнет.
