Een beveiligingsfout met maximale ernst die Siemens SIMATIC IoT2050 Advanced-apparaten treft, wordt actief uitgebuit, zo meldt VulnCheck.
De kwetsbaarheid, geregistreerd als CVE-2026-58115 (CVSS-score: 10.0), betreft het ontbreken van authenticatie voor een kritieke functie en kan door een niet-geauthenticeerde externe aanvaller worden misbruikt om willekeurige code uit te voeren.
“SIMATIC IoT2050 Advanced-apparaten die Industrial OS draaien met Node-RED geïnstalleerd bevatten een kwetsbaarheid in de Node-RED HTTP-interface door ontbrekende authenticatie, die een niet-geauthenticeerde externe aanvaller zou kunnen toestaan om kwaadaardige flows te creëren en met maximale rechten willekeurige code op de onderliggende server uit te voeren,” verklaarde Siemens in een advies dat in augustus 2026 is uitgebracht.
Het probleem is opgelost in versies 4.3.4.1 of later. Als mitigerende maatregelen raadt Siemens gebruikers aan Node-RED te verwijderen of de installatie te versterken door de volgende stappen te volgen:
- HTTPS-toegang inschakelen
- De editor en de admin-API beveiligen met inloggegevens of via een OAuth/OpenID-provider
- De HTTP-nodes en het Node-RED-dashboard beveiligen met basisverificatie
Per 30 oktober 2026 meldde VulnCheck dat het aanvallers had waargenomen die probeerden CVE-2026-58115 te weaponizen tegen zijn honeypot-netwerk om een Linux-bot te downloaden en uit te voeren.
“Het verzoek van de aanvaller was een volledige exploit,” zei VulnCheck-onderzoeker Patrick Garrity. “Het zette een Node-RED-flow uit, triggerde die automatisch en haalde een binaire van een door de aanvaller gecontroleerde server op, alles achter drie lagen van codering.”
Specifiek is de kwaadaardige flow zo ontworpen dat een shell-script-wrapper wordt uitgevoerd, die wget gebruikt om de botnet-binaire voor AMD64-architectuur op te halen van 85.215.73[.]250. Curl wordt gebruikt als fallback als de wget-poging faalt. In de laatste stap wordt de binaire opgeslagen als “/dev/shm/.b” en uitgevoerd.
Sindsdien zijn de aanvallers achter de campagne overgestapt op een tweefasenproces waarbij het wget-commando wordt gebruikt om een ander shell-script (“wget.sh”) van dezelfde server op te halen.
Er is ook een verzoek aangetroffen dat wget/curl uitvoert tegen “45.194.90[.]57:38472” om een payload genaamd “.sys_update” op te halen, deze op schijf op te slaan als “/tmp/.kworker” in een poging deze te camoufleren als een onschuldige kernel worker thread, en vervolgens uit te voeren. De exacte functionaliteit van “wget.sh” of “.kworker” is onbekend omdat deze niet konden worden opgehaald.
“Meerdere verzoeken zetten helemaal geen downloader uit. In plaats daarvan maakt de flow een HTTP-ingangspunt bloot (bijvoorbeeld /cmd of een willekeurig benoemd pad) dat via een function-node is gekoppeld aan een exec-node met addpay ingeschakeld, zodat de aanvaller later willekeurige commando’s kan uitvoeren door ze in een queryparameter mee te geven,” zei Garrity. “Deze achterdeur blijft actief, zelfs als een in geheugen gehouden implantaat bij een herstart verloren gaat.”
