Hücumçular Siemens IoT2050-də kritik boşluğu istismar edərək uzaqdan əmr arxa qapıları yerləşdirir

VulnCheck Siemens SIMATIC IoT2050 Advanced cihazlarında maksimum dərəcəli zəifliyin aktiv istismarını üzə çıxarıb. CVE-2026-58115 nömrəli, CVSS balı 10.0 olan boşluq Node-RED HTTP interfeysində autentifikasiya çatışmazlığıdır və autentifikasiyasız uzaq hücumçuya zərərli axınlar yaratmağa və maksimum səlahiyyətlərlə istənilən kodu icra etməyə imkan verə bilər. Siemens məsələnin 4.3.4.1 və ya daha yeni versiyalarda həll edildiyini bildirib.

Zəiflik təfərrüatları

Təsirə məruz qalan sistemlər Industrial OS üzərində işləyən və Node-RED quraşdırılmış SIMATIC IoT2050 Advanced cihazlarıdır. Siemens 2026-cı ilin avqustunda yayımladığı məsləhətdə autentifikasiya çatışmazlığı boşluğunun autentifikasiyasız uzaq hücumçuya əsas serverdə maksimum səlahiyyətlərlə istənilən kodu icra etməyə imkan verə biləcəyini bildirib. Azaltma tədbirləri kimi Siemens Node-RED-i silməyi və ya quraşdırmanı möhkəmləndirməyi tövsiyə edir: HTTPS girişi aktivləşdirmək, redaktor və admin API-ni etimadnamə əsaslı autentifikasiya və ya OAuth/OpenID təminatçısı ilə qorumaq, HTTP Nodes və Node-RED Dashboard-u isə əsas autentifikasiya ilə qorumaq.

Müşahidə olunan istismar

2026-cı il oktyabrın 30-na olan məlumata görə, VulnCheck hücumçuların CVE-2026-58115-i onun honeypot şəbəkəsinə qarşı silahlandırmağa, Linux bot endirməyə və işə salmağa cəhd etdiyini bildirib. Tədqiqatçı Patrick Garrity hücumçunun sorğusunun tam istismar olduğunu, Node-RED axını yerləşdirdiyini, onu avtomatik işə saldığını və üç kodlaşdırma qatının arxasında hücumçunun nəzarətindəki serverdən binar fayl çəkdiyini söyləyib. Zərərli axın AMD64 arxitekturası üçün botnet binarını 85.215.73[.]250 ünvanından almaq üçün wget istifadə edən shell skript qabığı işlədir; wget uğursuz olarsa, ehtiyat kimi curl istifadə olunur. Binar fayl /dev/shm/.b kimi saxlanılır və sonra icra edilir.

Hücumçular daha sonra wget-in eyni serverdən wget.sh adlı başqa bir shell skripti çəkdiyi iki mərhələli prosesə keçiblər. Başqa bir sorğuda 45.194.90[.]57:38472 ünvanına qarşı wget və ya curl istifadə edilərək .sys_update adlı yük çəkilir, onu zərərsiz kernel işçi sapı kimi maskalamaq məqsədilə /tmp/.kworker kimi saxlanılır və sonra icra edilir. wget.sh və ya .kworker-in dəqiq funksionallığı onları əldə etmək mümkün olmadığı üçün naməlumdur.

Bəzi sorğularda endirici yerləşdirilməyib. Əvəzində axın /cmd və ya təsadüfi adlı yol kimi HTTP in son nöqtəsini açıq qoyur, onu funksiya node-u vasitəsilə addpay aktivləşdirilmiş exec node-a bağlayır və hücumçuya əmrləri sorğu parametrində göndərməklə sonradan istənilən əmri icra etməyə imkan verir. Bu arxa qapı yaddaş əsaslı implant yenidən başladılma zamanı itirilsə belə qalır.

Mənbələr: The Hacker News