Laut VulnCheck wird eine kritische Sicherheitslücke in Siemens-SIMATIC-IoT2050-Advanced-Geräten aktiv ausgenutzt. Die unter CVE-2026-58115 geführte Schwachstelle erhielt einen CVSS-Wert von 10,0. Sie geht auf eine fehlende Authentifizierung bei einer kritischen Funktion zurück und könnte einem Angreifer aus der Ferne ermöglichen, Code auszuführen, ohne sich anzumelden.
Siemens zufolge betrifft die Sicherheitslücke Geräte, auf denen Industrial OS mit installiertem Node-RED läuft. Über die nicht authentifizierte HTTP-Schnittstelle von Node-RED könnten bösartige Flows erstellt und Code mit maximalen Berechtigungen auf dem zugrunde liegenden Server ausgeführt werden.
Das Problem wurde in Version 4.3.4.1 und späteren Versionen behoben. Siemens rät Nutzern, Node-RED zu deinstallieren oder abzusichern, indem sie HTTPS aktivieren, den Editor und die Admin-API mit Zugangsdaten oder einem OAuth-/OpenID-Anbieter schützen und die Basisauthentifizierung für HTTP Nodes und das Node-RED Dashboard aktivieren.
VulnCheck teilte mit, am 30. Oktober 2026 Versuche erkannt zu haben, die Schwachstelle gegen sein Honeypot-Netzwerk auszunutzen und einen Linux-Bot herunterzuladen und auszuführen. Der Forscher Patrick Garrity beschrieb eine der Anfragen als vollständigen Exploit: Dabei wurde ein Node-RED-Flow erstellt und automatisch ausgelöst, anschließend wurde eine Binärdatei von einem vom Angreifer kontrollierten Server heruntergeladen. Der Prozess verwendete drei Verschlüsselungsebenen.
Bei diesem Angriff führte der Flow einen Shellskript-Wrapper aus, der mit wget eine AMD64-Botnet-Binärdatei von 85.215.73[.]250 abrief und als Ausweichmöglichkeit curl verwendete. Die Binärdatei wurde unter /dev/shm/.b gespeichert und ausgeführt. Später wechselten die Angreifer zu einem zweistufigen Vorgehen und verwendeten wget, um ein weiteres Shellskript namens wget.sh vom selben Server abzurufen.
VulnCheck identifizierte außerdem eine Anfrage, die wget oder curl verwendete, um eine Payload namens .sys_update von 45.194.90[.]57:38472 abzurufen. Sie sollte unter /tmp/.kworker gespeichert werden – ein Name, der einem Kernel-Worker-Prozess ähneln soll – und anschließend ausgeführt werden. Die Forscher konnten weder wget.sh noch .kworker abrufen, daher sind deren genaue Funktionen weiterhin unbekannt.
Einige Anfragen enthielten kein Downloader-Programm. Stattdessen richteten sie einen HTTP-Endpunkt von Node-RED ein, der mit einem Funktions- und einem Ausführungsknoten verbunden war, sodass der Angreifer über einen Abfrageparameter Befehle ausführen konnte. Garrity zufolge könnte diese Backdoor auch dann bestehen bleiben, wenn ein im Arbeitsspeicher abgelegtes Implantat nach einem Neustart verloren geht.
Quellen: The Hacker News.