Ne oldu
VulnCheck, Siemens SIMATIC IoT2050 Advanced cihazlarında kritik bir açığın (CVE-2026-58115, CVSS 10,0) sahada istismar edildiğini bildirdi. Açık, Node-RED yüklü Industrial OS çalıştıran cihazlardaki HTTP arayüzünde kritik bir işlev için kimlik doğrulama bulunmamasından kaynaklanıyor ve kimliği doğrulanmamış uzak bir saldırganın cihazda en yüksek ayrıcalıkla keyfi kod çalıştırmasına izin veriyor.
Kimler etkileniyor
Node-RED yüklü SIMATIC IoT2050 Advanced cihazlarını endüstriyel ağ geçidi ya da uç bilgi işlem düğümü olarak kullanan üretim tesisleri, enerji ve altyapı işletmecileri. Cihaz internetten erişilebiliyorsa risk hemen doğuyor.
Teknik ayrıntı
Siemens bülteni Ağustos 2026'da yayımlandı ve düzeltme 4.3.4.1 ve sonrası sürümlerde. VulnCheck, 30 Ekim 2026 itibarıyla kendi tuzak ağında saldırganların açığı silahlandırmaya çalıştığını gördü. Araştırmacı Patrick Garrity, isteğin "eksiksiz bir istismar" olduğunu söyledi: saldırgan zararlı bir Node-RED akışı dağıttı, kendiliğinden tetikledi ve üç kat kodlama arkasından saldırgan kontrollü bir sunucudan ikili dosya çekti. Akış bir kabuk betiği çalıştırıyor; betik wget ile AMD64 mimarisi için botnet ikilisini 85.215.73[.]250 adresinden indiriyor (curl yedeği de var). Bu bir Linux botu yerleştirme girişimi; veri şifreleme ya da sabotaj bildirimi yok.
Kampanya sonradan iki aşamalı bir yönteme geçti: wget komutu aynı sunucudan "wget.sh" adlı başka bir kabuk betiği çekiyor. İlk aşamada ikili dosya "/dev/shm/.b" olarak kaydedilip çalıştırılıyordu. Başka bir istek ise 45.194.90[.]57:38472 adresinden ".sys_update" adlı bir yükü indirip zararsız bir çekirdek iş parçacığı gibi görünsün diye "/tmp/.kworker" adıyla kaydediyor ve çalıştırıyor. "wget.sh" ve ".kworker" dosyaları ele geçirilemediği için tam işlevleri bilinmiyor.
Bazı isteklerde hiç indirici yok. Bunun yerine akış, /cmd ya da rastgele adlı bir yolda HTTP uç noktası açıyor ve bunu bir işlev düğümü üzerinden komut çalıştıran bir exec düğümüne bağlıyor; saldırgan daha sonra sorgu parametresiyle istediği komutu çalıştırabiliyor. Garrity'ye göre bu arka kapı, bellekte duran bir implant yeniden başlatmada silinse bile ayakta kalıyor.
Ne yapmalı
- Cihazı 4.3.4.1 veya sonrasına güncelleyin; mümkün değilse Siemens'in önerdiği gibi Node-RED'i kaldırın ya da bülten adımlarıyla sertleştirin.
- IoT2050 cihazlarını internetten ve genel ağdan kapatın; yönetim arayüzlerine yalnız yönetim VLAN'ından erişin.
- Ağ günlüklerinde 85.215.73[.]250 adresine giden bağlantıları ve beklenmedik Node-RED akışlarını arayın.
- 45.194.90[.]57 adresine giden bağlantıları ve /dev/shm/.b, /tmp/.kworker dosyalarını arayın.
- Node-RED akışlarında /cmd gibi tanımadığınız HTTP uç noktalarını ve exec düğümlerini kontrol edin; yeniden başlatma bu arka kapıyı temizlemez.
