Siemens IoT2050: Kritische Node-RED-Lücke wird aktiv ausgenutzt
Eine kritische Schwachstelle in Siemens SIMATIC IoT2050 Advanced wird aktiv ausgenutzt. VulnCheck beobachtete die Angriffsversuche gegen sein Honeypot-Netzwerk seit dem 30. Oktober 2026. Die als CVE-2026-58115 geführte Lücke hat den maximalen CVSS-Wert 10,0 und erlaubt nicht authentifizierten Angreifern die Ausführung beliebigen Codes.
Betroffen sind laut Siemens SIMATIC IoT2050 Advanced mit Industrial OS und installiertem Node-RED. Ursache ist eine fehlende Authentifizierung an der HTTP-Schnittstelle von Node-RED. Ein Angreifer kann dort schädliche Flows anlegen und dadurch Code auf dem zugrunde liegenden Server mit maximalen Rechten ausführen, schrieb Siemens in einem Advisory vom August 2026.
Siemens hat die Schwachstelle mit Version 4.3.4.1 oder höher behoben. Als Maßnahmen nennt der Hersteller die Deinstallation von Node-RED oder eine Absicherung der Installation. Dazu gehören eine Anmeldung für Editor und Admin-API über Zugangsdaten oder einen OAuth-/OpenID-Anbieter sowie eine Authentifizierung für HTTP-Nodes und das Node-RED-Dashboard.
VulnCheck zufolge enthielt eine beobachtete Anfrage bereits einen vollständigen Exploit. Der Angreifer setzte einen Node-RED-Flow ein, startete ihn automatisch und lud eine Linux-Binärdatei von einem kontrollierten Server herunter. In einem beschriebenen Ablauf speicherte der Flow die Datei unter „/dev/shm/.b“ und führte sie aus; Curl diente als Ausweichmethode, wenn Wget nicht funktionierte.
Weitere Anfragen luden laut VulnCheck ein Skript namens „wget.sh“ oder eine Datei namens „.sys_update“ nach. Die genaue Funktion dieser Dateien blieb unbekannt, weil sie nicht abgerufen werden konnten. Andere schädliche Flows richteten einen HTTP-Endpunkt ein, über den Angreifer später Befehle als Anfrageparameter an einen Exec-Knoten übergeben konnten. Diese Hintertür sollte laut VulnCheck auch nach einem Neustart bestehen bleiben, wenn ein nur im Arbeitsspeicher liegendes Implantat verloren geht.