Зловмисники експлуатують критичну вразливість Siemens IoT2050 для встановлення бекдорів віддалених команд

VulnCheck виявила активну експлуатацію вразливості максимального рівня небезпеки в пристроях Siemens SIMATIC IoT2050 Advanced. Ця вада, CVE-2026-58115 із оцінкою CVSS 10.0, є проблемою відсутності автентифікації в HTTP-інтерфейсі Node-RED, яка може дозволити неавтентифікованому віддаленому зловмиснику створювати шкідливі потоки та виконувати довільний код із максимальними привілеями. Siemens заявила, що проблему виправлено у версіях 4.3.4.1 або новіших.

Деталі вразливості

Уражені системи: пристрої SIMATIC IoT2050 Advanced, які працюють під керуванням Industrial OS із встановленим Node-RED. Siemens заявила в рекомендаційному бюлетені, оприлюдненому в серпні 2026 року, що вразливість відсутності автентифікації могла дозволити неавтентифікованому віддаленому зловмиснику виконувати довільний код на сервері, на якому працює система, із максимальними привілеями. Як пом'якшувальні заходи Siemens рекомендує видалити Node-RED або посилити захист інсталяції шляхом увімкнення доступу через HTTPS, захисту редактора й API адміністрування за допомогою автентифікації на основі облікових даних або провайдера OAuth/OpenID, а також захисту HTTP Nodes і Node-RED Dashboard за допомогою базової автентифікації.

Зафіксована експлуатація

Станом на 30 жовтня 2026 року VulnCheck повідомила, що зловмисники намагалися використати CVE-2026-58115 як зброю проти її мережі honeypot, щоб завантажити й запустити бота Linux. Дослідник Patrick Garrity сказав, що запит зловмисника був повним експлойтом, який розгортав потік Node-RED, автоматично його запускав і витягував двійковий файл із контрольованого зловмисником сервера, прихованого за трьома рівнями кодування. Шкідливий потік запускає обгортку скрипту оболонки, яка за допомогою wget отримує двійковий файл ботнету для архітектури AMD64 з 85.215.73[.]250, а curl використовується як резервний варіант, якщо wget не працює. Двійковий файл зберігається як /dev/shm/.b, а потім виконується.

Пізніше зловмисники перейшли до двоетапного процесу, у якому wget отримує інший скрипт оболонки з назвою wget.sh із того самого сервера. Було виявлено інший запит, який використовує wget або curl до 45.194.90[.]57:38472, щоб отримати корисне навантаження з назвою .sys_update, зберегти його як /tmp/.kworker у спробі замаскувати його під нешкідливий робочий потік ядра, а потім виконати його. Точна функціональність wget.sh або .kworker залишається невідомою, оскільки їх не вдалося отримати.

Деякі запити не розгортали завантажувач. Натомість потік відкриває HTTP in endpoint, наприклад /cmd або шлях із випадковою назвою, під'єднаний через вузол function до вузла exec із увімкненим addpay, що дозволяє зловмиснику пізніше виконувати довільні команди, передаючи їх у параметрі запиту. Цей бекдор зберігається, навіть якщо імплант у пам'яті втрачається під час перезавантаження.

Джерела: The Hacker News