CVE-2026-58115 su Siemens IoT2050: attacchi attivi creano flow Node-RED e installano backdoor con CVSS 10.0

Una vulnerabilità critica sta mettendo sotto pressione la sicurezza dei dispositivi industriali Siemens SIMATIC IoT2050 Advanced, in particolare quelli che eseguono Industrial OS con Node RED installato. Il problema è identificato come CVE 2026 58115 e ha punteggio CVSS 10.0, quindi massima gravità.

La falla riguarda l’assenza di autenticazione per una funzione chiave esposta tramite interfaccia HTTP di Node RED. In pratica un attaccante remoto non autenticato può creare flow malevoli e arrivare all’esecuzione di codice arbitrario con privilegi elevati sul sistema sottostante.

Il rischio è concreto perché la vulnerabilità risulta sfruttata attivamente in rete. Sono stati osservati tentativi di attacco che non si limitano a verificare la presenza della falla, ma includono una catena completa di sfruttamento. Gli aggressori caricano un flow Node RED, lo attivano automaticamente e scaricano un payload per Linux da un server controllato dall’attaccante. In alcuni casi il download avviene tramite wget, con curl come alternativa se wget fallisce. Il binario viene poi salvato in un percorso temporaneo in memoria condivisa come /dev/shm e avviato, una tecnica comune per ridurre le tracce su disco.

Le analisi mostrano anche un cambio di tattica verso un approccio in due fasi, in cui il primo stadio scarica uno script aggiuntivo che a sua volta recupera altri componenti. In un altro scenario, il payload viene salvato come /tmp/kworker per mascherarsi da processo legittimo legato al kernel. Non sempre però viene distribuito un downloader. Alcuni flow espongono direttamente un endpoint HTTP In, ad esempio su /cmd o su un percorso casuale, collegato a nodi function ed exec, così da permettere l’esecuzione remota di comandi in un secondo momento passando parametri nella query. Questo comportamento equivale a una backdoor operativa e può restare disponibile anche dopo un riavvio, rendendo la compromissione più persistente.

La correzione è disponibile nelle versioni 4.3.4.1 o successive. Come mitigazioni, è consigliato disinstallare Node RED quando non necessario oppure irrobustire la configurazione abilitando HTTPS, proteggendo editor e admin API con autenticazione o provider OAuth/OpenID e applicando autenticazione di base ai nodi HTTP e alla dashboard.