Siemens SIMATIC IoT2050'deki Node-RED açığı istismar ediliyor: saldırganlar backdoor ve botnet yüklüyor
CVSS 10.0 puanlı CVE-2026-58115, Node-RED kurulu SIMATIC IoT2050 Advanced cihazlarda kimlik doğrulamasız kod çalıştırmaya imkân veriyor. VulnCheck, bal küpü ağında aktif istismar girişimleri gözlemledi.
CVE-2026-58115
Siemens'in endüstriyel IoT gateway ürünü SIMATIC IoT2050'yi etkileyen kritik bir açık, saldırganlar tarafından aktif olarak kullanılıyor. CVE-2026-58115 kimlikli zafiyet CVSS 10.0 ile en yüksek önem derecesinde. Siemens açığı Ağustos 2026'da SSA-834709 bildirimiyle duyurmuştu; istismar girişimleri ise ekim sonunda tespit edildi.
Güvenlik firması VulnCheck, 30 Ekim 2026 itibarıyla bal küpü (honeypot) ağına yönelik girişimler gözlemledi. İlk dalgada cihaza bir Linux botnet bileşeni indirilip çalıştırıldı; sonraki girişimlerde iki aşamalı bir yükleme zinciri kullanıldı, bazı isteklerde ise yeniden başlatmalardan sonra da çalışan kalıcı bir backdoor oluşturuldu. Kurban sayısına dair bir bilgi paylaşılmadı.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| SIMATIC IoT2050 Advanced (Industrial OS, Node-RED kurulu) | Üretici bildirimindeki liste (SSA-834709) | 4.3.4.1 veya sonrası (Siemens'e göre) |
Kaynak haberde 4.3.4.1 numarasının Node-RED'e mi yoksa cihaz yazılımına mı ait olduğu açık değil; Siemens SSA-834709 bildirimini doğrudan kontrol edin.
Beni etkiliyor mu?
Sorun, Industrial OS çalıştıran ve Node-RED kurulu IoT2050 Advanced cihazlarda: Node-RED'in HTTP arayüzündeki kritik bir işlev için kimlik doğrulama yapılmıyor, bu da kimliği doğrulanmamış uzak bir saldırganın zararlı akışlar (flow) oluşturup en yüksek yetkiyle kod çalıştırmasına imkân tanıyor. Node-RED'in varsayılan olarak kimlik doğrulamasız çalışabilmesi, internete veya geniş iç ağlara açık kurulumları özellikle riskli kılıyor.
Kendi ortamınızda şunları kontrol edin:
- Envanterde IoT2050 Advanced cihazları ve üzerinde Node-RED kurulu olup olmadığı.
- Cihazın ve Node-RED'in sürümü; Node-RED editörünün Ayarlar bölümünden ve cihazın yönetim arayüzünden okunabilir.
- Node-RED arayüzünün internetten veya geniş iç ağlardan erişilebilir olup olmadığı (güvenlik duvarı kurallarından).
- Mevcut akışlarda tanımadığınız HTTP uç noktaları ve komut çalıştıran node'lar bulunup bulunmadığı.
Ne yapılmalı?
- Envanterde Node-RED kurulu SIMATIC IoT2050 Advanced cihazları belirleyin ve Siemens SSA-834709 bildirimindeki düzeltilmiş sürüme geçin.
- Node-RED kullanılmıyorsa kaldırın; kullanılıyorsa HTTPS'i etkinleştirin, editör ve yönetim API'sini kimlik doğrulamayla (kullanıcı adı/parola veya OAuth/OpenID) koruyun, HTTP node'ları ve Dashboard için basic auth açın.
- Cihazların Node-RED arayüzünü internete açmayın; erişimi segmentasyon ve firewall kurallarıyla yalnızca yönetim ağına sınırlayın.
- Mevcut akışları beklenmeyen HTTP uç noktaları ve komut çalıştıran node'lar açısından gözden geçirin; şüpheli durumda cihazı yeniden kurmayı değerlendirin. Bu cihazlar genellikle PLC ve sensörleri BT ağına bağladığı için OT ağına geçiş riskini göz önünde bulundurarak change management sürecinizde hızlıca planlayın.
