תוקפים מנצלים פגיעות קריטית ב-Siemens IoT2050 כדי להשתיל דלתות אחוריות לפקודות מרחוק
VulnCheck מדווחת שתוקפים מנצלים את CVE-2026-58115, פגיעות חמורה ביותר של היעדר אימות במכשירי Siemens SIMATIC IoT2050 Advanced עם Node-RED, כדי לפרוס מטעני בוט ל-Linux ודלתות אחוריות קבועות לפקודות.
VulnCheck חשפה ניצול פעיל של פגיעות בדרגת חומרה מרבית במכשירי Siemens SIMATIC IoT2050 Advanced. הפגיעות, CVE-2026-58115 עם ציון CVSS של 10.0, היא בעיית היעדר אימות בממשק ה-HTTP של Node-RED שיכולה לאפשר לתוקף מרוחק שאינו מאומת ליצור זרימות זדוניות ולהריץ קוד שרירותי בהרשאות מרביות. Siemens אמרה שהבעיה תוקנה בגרסאות 4.3.4.1 ואילך.
פרטי הפגיעות
המערכות המושפעות הן מכשירי SIMATIC IoT2050 Advanced המריצים Industrial OS עם Node-RED מותקן. Siemens אמרה בהתראה שפורסמה באוגוסט 2026 שפגיעות היעדר האימות עלולה לאפשר לתוקף מרוחק שאינו מאומת להריץ קוד שרירותי בשרת הבסיסי בהרשאות מרביות. כאמצעי הפחתה, Siemens ממליצה להסיר את Node-RED או להקשיח את ההתקנה באמצעות הפעלת גישה ב-HTTPS, אבטחת העורך וה-admin API באמצעות אימות מבוסס אישורים או ספק OAuth/OpenID, ואבטחת HTTP Nodes ו-Node-RED Dashboard באמצעות אימות בסיסי.
ניצול שנצפה
נכון ל-30 באוקטובר 2026, VulnCheck אמרה שתוקפים ניסו להפעיל כנשק את CVE-2026-58115 נגד רשת ה-honeypot שלה כדי להוריד ולהריץ בוט Linux. החוקר Patrick Garrity אמר שהבקשה של התוקף הייתה ניצול שלם שפרס זרימת Node-RED, הפעיל אותה אוטומטית, ומשך קובץ בינארי משרת בשליטת התוקף מאחורי שלוש שכבות קידוד. הזרימה הזדונית מריצה עטיפת סקריפט shell שמשתמשת ב-wget כדי לאחזר קובץ בינארי של בוטנט עבור ארכיטקטורת AMD64 מ-85.215.73[.]250, עם curl כגיבוי אם wget נכשל. הקובץ הבינארי נשמר כ-/dev/shm/.b ואז מופעל.
מאוחר יותר עברו התוקפים לתהליך דו-שלבי שבו wget מאחזר סקריפט shell נוסף בשם wget.sh מאותו שרת. נמצאה בקשה נוספת שהשתמשה ב-wget או curl נגד 45.194.90[.]57:38472 כדי לאחזר מטען בשם .sys_update, לשמור אותו כ-/tmp/.kworker בניסיון להסוות אותו כתהליכון worker של kernel לא מזיק, ואז להפעיל אותו. הפונקציונליות המדויקת של wget.sh או .kworker נותרת לא ידועה מכיוון שלא ניתן היה לאחזר אותן.
בחלק מהבקשות לא נפרס שום מוריד. במקום זאת, הזרימה חושפת נקודת קצה HTTP in, כגון /cmd או נתיב בשם אקראי, המחווטת דרך צומת function אל צומת exec עם addpay מופעל, ומאפשרת לתוקף להריץ פקודות שרירותיות מאוחר יותר על ידי העברתן בפרמטר query. דלת אחורית זו שורדת גם אם implant המבוסס בזיכרון אובד באתחול מחדש.
מקורות: The Hacker News
SiTech — פיתוח אתרים בכוח ה-AI
אנחנו בונים אתרים מהירים ומודרניים ומשלבים AI בתהליכי עבודה אמיתיים. יש לכם פרויקט או שאלה? נשמח לעזור.