Atakujący wykorzystują podatność o wyniku 10.0 w urządzeniach Siemens SIMATIC IoT2050 Advanced
- Rodzaj
- Streszczenie
- Data
- Aktualizacja
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- Canadian Centre for Cyber Security ()
Kanadyjskie Centrum Cyberbezpieczeństwa zaktualizowało 3 listopada 2026 r. biuletyn AV26-802 o informację, że CVE-2026-58115 jest wykorzystywana w atakach. The Hacker News wiąże ją z urządzeniami SIMATIC IoT2050 Advanced.
Canadian Centre for Cyber Security zaktualizował 3 listopada 2026 r. biuletyn AV26-802 dotyczący produktów Siemens. Biuletyn pochodzi z 11 sierpnia 2026 r. Nowością jest informacja, że według otwartych źródeł podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-58115 jest wykorzystywana w atakach.
The Hacker News, powołując się na VulnCheck, opisuje, że chodzi o urządzenia SIMATIC IoT2050 Advanced. Podatność ma wynik 10.0 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. i polega na braku uwierzytelniania dla funkcji krytycznej. Zdalny atakujący bez uwierzytelnienia może dzięki niej uruchomić dowolny kod. Tytuł artykułu mówi o instalowaniu przez atakujących tylnych drzwi, które pozwalają zdalnie wydawać polecenia.
Biuletyn AV26-802 obejmuje więcej produktów, między innymi Desigo DXR2, Desigo PXC3, Desigo PXC4, Desigo PXC5, Desigo PXC7, Siemens License Server, Simcenter Femap, Simcenter Nastran i Solid Edge. Wykorzystanie w atakach źródła wiążą jednak z SIMATIC IoT2050 Advanced. Jeśli używasz tych urządzeń w automatyce budynkowej lub przemysłowej, sprawdź ich wersję. Biuletyn wymienia jako objęte wersje starsze niż V4.3.4.1.
Kanadyjskie Centrum zachęca użytkowników i administratorów do zapoznania się z biuletynem Siemens i zastosowania potrzebnych aktualizacji. Dla SIMATIC IoT2050 Advanced punktem odniesienia jest V4.3.4.1.
Aktualizacja z 5 listopada 2026
Nowe źródła doprecyzowują, że CVE-2026-58115 dotyczy Node-RED, platformy do programowania wizualnego zintegrowanej z urządzeniami SIMATIC IoT2050 Advanced, a konkretnie braku uwierzytelniania na jej interfejsie HTTP. Według włoskiego CSIRT-uCSIRT Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB). (ACN) zdalny atakujący, który dotrze do tego interfejsu, może utworzyć i wdrożyć złośliwe przepływy Node-RED, a zaobserwowane próby miały pobierać i uruchamiać złośliwe ładunki. WaterISAC zaznacza, że opisana technika dotyczy każdej dostępnej instancji Node-RED bez uwierzytelniania, nie tylko urządzenia Siemensa.
Za VulnCheck WaterISAC podaje, że udane wykorzystanie zaobserwowano od 30 października, a do 1 listopada odnotowano 16 ataków z tego samego źródła. VulnCheck ocenia, że sprawcy aktywnie skanują sieć w poszukiwaniu podatnych instancji i atakują je automatycznie. Zwraca też uwagę, że dokumentacja Emerson wspomina o Node-RED, ale nie sprawdził, czy produkty tej firmy są dotknięte.
WaterISAC zaleca ustalić, czy Node-RED działa gdziekolwiek w środowisku, także jako element urządzeń ICS/OT, zaktualizować SIMATIC IoT2050 Advanced do wersji 4.3.4.1 lub nowszej, odinstalować Node-RED tam, gdzie nie jest potrzebny, oraz włączyć uwierzytelnianie administracyjne adminAuth. Jeśli obsługę technologii zlecasz na zewnątrz, WaterISAC radzi uzgodnić działania naprawcze z usługodawcą. ACN dodatkowo zaleca rozważyć wdrożenie na urządzeniach zabezpieczających wskaźników kompromitacji (IoC) z listy odnośników w swoim komunikacie.
Źródła
- Canadian Centre for Cyber Security: [Control systems] Siemens security advisory (AV26-802) - Update 1
- The Hacker News: Attackers Exploit Critical Siemens IoT2050 Flaw to Plant Remote Command Backdoors
- CSIRT Italia (ACN): Aggiornamenti per prodotti Siemens
- WaterISAC: (TLP:CLEAR) Vulnerability Notification - Node-RED Actively Exploited
Pojęcia w tym tekście (3)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- CVSS
- Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
- CSIRT
- Zespół reagowania na incydenty bezpieczeństwa komputerowego. Na poziomie krajowym działają trzy: CSIRT GOV (Szef ABW), CSIRT MON (Minister Obrony Narodowej) i CSIRT NASK (NASK-PIB).