Une vulnérabilité critique touchant les appareils Siemens SIMATIC IoT2050 Advanced fait l’objet d’une exploitation active, selon VulnCheck. Référencée sous le nom CVE-2026-58115 et assortie d’un score CVSS de 10,0, cette faille découle de l’absence d’authentification dans une fonction critique et pourrait permettre à un attaquant distant d’exécuter du code sans se connecter.

Siemens a indiqué que la vulnérabilité affecte les appareils exécutant Industrial OS sur lesquels Node-RED est installé. L’interface HTTP de Node-RED, accessible sans authentification, pourrait être utilisée pour créer des flux malveillants et exécuter du code sur le serveur sous-jacent avec les privilèges maximaux.

Le problème est corrigé dans la version 4.3.4.1 et les versions ultérieures. Siemens conseille aux utilisateurs de désinstaller Node-RED ou de le sécuriser en activant HTTPS, en protégeant l’éditeur et l’API d’administration à l’aide d’identifiants ou d’un fournisseur OAuth/OpenID, et en activant l’authentification de base pour les nœuds HTTP et le tableau de bord Node-RED.

VulnCheck a déclaré avoir détecté, le 30 octobre 2026, des tentatives d’exploitation de la faille contre son réseau de pots de miel, ainsi que le téléchargement et l’exécution d’un bot Linux. Le chercheur Patrick Garrity a décrit une requête comme un exploit complet : elle créait et déclenchait automatiquement un flux Node-RED, puis téléchargeait un binaire depuis un serveur contrôlé par l’attaquant. Le processus utilisait trois couches d’encodage.

Lors de cette attaque, le flux exécutait un script shell intermédiaire qui utilisait wget pour récupérer un binaire de botnet AMD64 depuis 85.215.73[.]250, avec curl en solution de secours. Le binaire était enregistré sous /dev/shm/.b, puis exécuté. Les attaquants sont ensuite passés à une approche en deux étapes, utilisant wget pour récupérer un autre script shell, nommé wget.sh, depuis le même serveur.

VulnCheck a également identifié une requête qui utilisait wget ou curl pour récupérer une charge utile nommée .sys_update depuis 45.194.90[.]57:38472. Celle-ci devait être enregistrée sous /tmp/.kworker, un nom destiné à ressembler à celui d’un processus de travail du noyau, puis exécutée. Les chercheurs n’ont pas pu récupérer wget.sh ni .kworker ; leurs fonctions précises restent donc inconnues.

Certaines requêtes n’incluaient aucun téléchargeur. Elles mettaient plutôt en place un point de terminaison HTTP Node-RED relié à un nœud fonction et à un nœud d’exécution, permettant à l’attaquant de lancer des commandes au moyen d’un paramètre de requête. Selon Garrity, cette porte dérobée pourrait rester en place même si un implant stocké en mémoire est perdu après un redémarrage.

Sources: The Hacker News.