חברת VulnCheck מדווחת על ניצול פעיל של CVE-2026-58115, פגיעות בציון CVSS 10.0 בממשק ה-HTTP של Node-RED בהתקני Siemens SIMATIC IoT2050 Advanced. תוקף ללא אימות יכול להריץ קוד עם הרשאות מרביות.
| מזהה | CVE-2026-58115 |
| מוצר מושפע | SIMATIC IoT2050 Advanced עם Industrial OS ו-Node-RED מותקן |
| חומרה | CVSS 10.0 (קריטית) |
| מנוצל בפועל | כן, לפי VulnCheck |
| תיקון | Node-RED 4.3.4.1 ומעלה |
מה קרה
הליקוי הוא היעדר אימות בפונקציה קריטית: התוקף יוצר flow זדוני ב-Node-RED ומריץ קוד על המכשיר. Siemens פרסמה ייעוץ כבר באוגוסט 2026, וכעת VulnCheck רושמת, נכון ל-30 באוקטובר, ניסיונות ניצול ברשת ה-honeypot שלה.
בגל הראשון ה-flow הוריד בוט ללינוקס משרת תוקף. בהמשך עברו התוקפים לשני שלבים, ובחלק מהבקשות הושארה דלת אחורית: נקודת HTTP המחוברת לצומת exec, שמאפשרת הרצת פקודות גם אחרי שהמטמיע בזיכרון נעלם באתחול. תפקוד חלק מהקבצים שהורדו לא ידוע, כי לא ניתן היה לאחזר אותם.
נקודות לשים לב
- עדכן ל-Node-RED 4.3.4.1 ומעלה, לפי הייעוץ SSA-834709 של Siemens.
- אם אי אפשר לעדכן מיד: הסר את Node-RED, או הקשח אותו — HTTPS, אימות לעורך ול-admin API, ואימות בסיסי לצמתי HTTP ול-Dashboard.
- ודא שהממשק לא חשוף לאינטרנט, ובדוק אם הוא נגיש מרשתות לא מהימנות.
- חפש עדויות לפריצה: flows עם נקודות HTTP-in (למשל
/cmd) המחוברות לצומת exec, וקבצים בנתיבים/dev/shm/.bו-/tmp/.kworker. - חסום תעבורה לכתובות שפורסמו כ-IoC: 85.215.73.250 ו-45.194.90.57. במכשיר שנמצאו בו סימנים כאלה אל תסתפק בעדכון — התייחס אליו כחשוד.
מקורות: VulnCheck · Siemens SSA-834709 · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
