Saldırganlar, Siemens IoT2050'deki Kritik Açığı Uzaktan Komut Arka Kapıları Yerleştirmek İçin İstismar Ediyor

VulnCheck, Siemens SIMATIC IoT2050 Advanced cihazlarındaki maksimum önem dereceli bir açığın aktif olarak istismar edildiğini açıkladı. CVSS puanı 10.0 olan CVE-2026-58115 açığı, Node-RED HTTP arayüzündeki bir kimlik doğrulama eksikliği olup kimliği doğrulanmamış uzak bir saldırganın kötü niyetli akışlar oluşturmasına ve maksimum ayrıcalıklarla rastgele kod çalıştırmasına olanak tanıyabilir. Siemens, sorunun 4.3.4.1 veya sonraki sürümlerde düzeltildiğini söyledi.

Güvenlik açığı ayrıntıları

Etkilenen sistemler, Node-RED kurulu Industrial OS çalıştıran SIMATIC IoT2050 Advanced cihazlarıdır. Siemens, Ağustos 2026'da yayımladığı bir danışma belgesinde kimlik doğrulama eksikliği açığının kimliği doğrulanmamış uzak bir saldırganın temel sunucuda maksimum ayrıcalıklarla rastgele kod çalıştırmasına olanak tanıyabileceğini söyledi. Siemens, azaltma önlemleri olarak Node-RED'in kaldırılmasını veya kurulumun HTTPS erişimini etkinleştirerek, editör ve yönetici API'sini kimlik bilgisi tabanlı kimlik doğrulama ya da bir OAuth/OpenID sağlayıcısı üzerinden güvence altına alarak ve HTTP Nodes ile Node-RED Dashboard'u temel kimlik doğrulamayla güvence altına alarak sertleştirilmesini öneriyor.

Gözlemlenen istismar

VulnCheck, 30 Ekim 2026 itibarıyla saldırganların CVE-2026-58115'i honeypot ağına karşı silahlandırmaya çalışarak bir Linux botu indirip çalıştırmayı denediğini söyledi. Araştırmacı Patrick Garrity, saldırganın isteğinin bir Node-RED akışı dağıtan, onu otomatik olarak tetikleyen ve üç katman kodlama arkasındaki saldırgan kontrollü bir sunucudan bir ikili dosya çeken eksiksiz bir istismar olduğunu söyledi. Kötü niyetli akış, wget kullanarak 85.215.73[.]250 adresinden AMD64 mimarisi için bir botnet ikili dosyasını alan ve wget başarısız olursa yedek olarak curl kullanan bir kabuk betiği sarmalayıcısı çalıştırır. İkili dosya /dev/shm/.b olarak kaydedilir ve ardından yürütülür.

Saldırganlar daha sonra wget'in aynı sunucudan wget.sh adlı başka bir kabuk betiğini aldığı iki aşamalı bir sürece geçti. Başka bir isteğin, 45.194.90[.]57:38472 adresine karşı wget veya curl kullanarak .sys_update adlı bir yükü getirdiği, zararsız bir çekirdek çalışan iş parçacığı gibi gizleme girişimiyle /tmp/.kworker olarak kaydettiği ve ardından yürüttüğü bulundu. wget.sh veya .kworker'ın tam işlevselliği bilinmiyor çünkü bunlar alınamadı.

Bazı istekler herhangi bir indirici dağıtmadı. Bunun yerine akış, /cmd gibi veya rastgele adlandırılmış bir yol gibi bir HTTP in uç noktasını açığa çıkarır; bu uç nokta, addpay etkinleştirilmiş bir exec düğümüne bir function düğümü üzerinden bağlanır ve saldırganın daha sonra bunları bir sorgu parametresinde ileterek rastgele komutlar çalıştırmasına olanak tanır. Bu arka kapı, bellek destekli bir implant yeniden başlatmada kaybolsa bile varlığını sürdürür.

Kaynaklar: The Hacker News