Secondo VulnCheck, una vulnerabilità critica nei dispositivi Siemens SIMATIC IoT2050 Advanced è attivamente sfruttata. Tracciata come CVE-2026-58115 e con un punteggio CVSS di 10.0, la falla deriva dalla mancata autenticazione in una funzione critica e potrebbe consentire a un aggressore remoto di eseguire codice senza effettuare l’accesso.
Siemens ha dichiarato che la vulnerabilità riguarda i dispositivi con Industrial OS e Node-RED installato. L’interfaccia HTTP di Node-RED non autenticata potrebbe essere usata per creare flussi malevoli ed eseguire codice sul server sottostante con i privilegi massimi.
Il problema è risolto nella versione 4.3.4.1 e successive. Siemens consiglia agli utenti di disinstallare Node-RED oppure di proteggerlo abilitando HTTPS, proteggendo l’editor e l’API di amministrazione con credenziali o con un provider OAuth/OpenID e abilitando l’autenticazione di base per i nodi HTTP e la dashboard di Node-RED.
VulnCheck ha dichiarato che il 30 ottobre 2026 ha rilevato tentativi di sfruttare la falla contro la propria rete di honeypot e di scaricare ed eseguire un bot Linux. Il ricercatore Patrick Garrity ha descritto una richiesta come un exploit completo: creava e attivava automaticamente un flusso Node-RED, quindi scaricava un binario da un server controllato dall’aggressore. Il processo utilizzava tre livelli di codifica.
In quell’attacco, il flusso eseguiva un wrapper di script shell che utilizzava wget per scaricare un binario di botnet AMD64 da 85.215.73[.]250, con curl come alternativa. Il binario veniva salvato come /dev/shm/.b ed eseguito. In seguito, gli aggressori sono passati a un approccio in due fasi, usando wget per recuperare un altro script shell, denominato wget.sh, dallo stesso server.
VulnCheck ha inoltre identificato una richiesta che usava wget o curl per scaricare un payload denominato .sys_update da 45.194.90[.]57:38472. Era impostato per essere salvato come /tmp/.kworker, un nome pensato per assomigliare a un processo worker del kernel, e poi eseguito. I ricercatori non sono riusciti a recuperare wget.sh o .kworker, quindi le loro funzioni precise restano sconosciute.
Alcune richieste non includevano un programma per il download. Configuravano invece un endpoint HTTP di Node-RED collegato a un nodo funzione e a un nodo di esecuzione, consentendo all’aggressore di impartire comandi tramite un parametro di query. Garrity ha affermato che questa backdoor potrebbe restare attiva anche se un impianto basato sulla memoria viene perso dopo un riavvio.
Fonti: The Hacker News.