المهاجمون يستغلون ثغرة Siemens IoT2050 الحرجة لزرع أبواب خلفية للأوامر عن بُعد
تقول VulnCheck إن المهاجمين يستغلون CVE-2026-58115، وهي ثغرة مفقودة للمصادقة بدرجة خطورة قصوى في أجهزة Siemens SIMATIC IoT2050 Advanced المزودة بـ Node-RED، لنشر حمولات بوت Linux وأبواب خلفية للأوامر ثابتة.
كشفت VulnCheck عن استغلال فعلي لثغرة بدرجة خطورة قصوى في أجهزة Siemens SIMATIC IoT2050 Advanced. الثغرة، CVE-2026-58115 بدرجة CVSS قدرها 10.0، هي مشكلة مفقودة للمصادقة في واجهة Node-RED HTTP، ويمكن أن تتيح لمهاجم بعيد غير مصادق إنشاء تدفقات خبيثة وتنفيذ تعليمات برمجية اعتباطية بامتيازات قصوى. قالت Siemens إن المشكلة أُصلحت في الإصدار 4.3.4.1 أو الأحدث.
تفاصيل الثغرة
الأنظمة المتأثرة هي أجهزة SIMATIC IoT2050 Advanced التي تعمل على Industrial OS مع تثبيت Node-RED. قالت Siemens في نشرة صدرت في أغسطس 2026 إن ثغرة المصادقة المفقودة قد تتيح لمهاجم بعيد غير مصادق تشغيل تعليمات برمجية اعتباطية على الخادم الأساسي بامتيازات قصوى. كتدابير تخفيف، توصي Siemens بإلغاء تثبيت Node-RED أو تقوية التثبيت بتمكين الوصول عبر HTTPS، وتأمين المحرر وواجهة admin API من خلال مصادقة قائمة على بيانات الاعتماد أو مزود OAuth/OpenID، وتأمين HTTP Nodes ولوحة Node-RED Dashboard بمصادقة أساسية.
الاستغلال المرصود
اعتبارا من 30 أكتوبر 2026، قالت VulnCheck إن المهاجمين حاولوا استغلال CVE-2026-58115 ضد شبكة honeypot الخاصة بها لتنزيل وتشغيل بوت Linux. قال الباحث Patrick Garrity إن طلب المهاجم كان استغلالا كاملا نشر تدفق Node-RED، وشغّله تلقائيا، وسحب ملفا تنفيذيا من خادم يتحكم به المهاجم خلف ثلاث طبقات من الترميز. يشغّل التدفق الخبيث غلافا لبرنامج shell يستخدم wget لاسترداد ملف تنفيذي لشبكة botnet مخصص لمعمارية AMD64 من 85.215.73[.]250، مع curl كخيار احتياطي إذا فشل wget. يُحفظ الملف التنفيذي باسم /dev/shm/.b ثم يُنفّذ.
انتقل المهاجمون لاحقا إلى عملية من مرحلتين، حيث يسترد wget برنامج shell آخر باسم wget.sh من الخادم نفسه. عُثر على طلب آخر يستخدم wget أو curl مقابل 45.194.90[.]57:38472 لجلب حمولة باسم .sys_update، وحفظها باسم /tmp/.kworker في محاولة لإخفائها على أنها خيط عامل نواة غير ضار، ثم تنفيذها. تبقى الوظيفة الدقيقة لـ wget.sh أو .kworker مجهولة لأن تعذر استردادهما.
بعض الطلبات لم تنشر أي أداة تنزيل. بدلا من ذلك، يعرض التدفق نقطة نهاية HTTP in، مثل /cmd أو مسار باسم عشوائي، موصولة عبر function node إلى exec node مع تمكين addpay، مما يتيح للمهاجم تشغيل أوامر اعتباطية لاحقا بتمريرها في query parameter. يبقى هذا الباب الخلفي حتى إذا فُقد implant مدعوم بالذاكرة عند إعادة التشغيل.
المصادر: The Hacker News
SiTech — تطوير ويب مدعوم بالذكاء الاصطناعي
نبني مواقع سريعة وعصرية وندمج الذكاء الاصطناعي في سير عمل الشركات. لديك مشروع أو سؤال؟ يسعدنا مساعدتك.