Напаѓачи искористуваат критична ранливост во Siemens IoT2050 за инсталирање задна врата за далечинско извршување команди

Безбедносна ранливост со највисок степен на сериозност, која ги засега уредите Siemens SIMATIC IoT2050 Advanced, активно се злоупотребува од напаѓачи, открива компанијата VulnCheck.

Ранливоста, означена како CVE-2026-58115 (CVSS оцена: 10.0), се должи на недостиг на автентикација при пристап до критична функција, што може да му овозможи на далечински напаѓач да извршува произволен код без претходна автентикација.

„Уредите SIMATIC IoT2050 Advanced што го користат Industrial OS со инсталиран Node-RED содржат ранливост предизвикана од недостиг на автентикација во HTTP-интерфејсот на Node-RED. Ова може да му овозможи на далечински напаѓач, без автентикација, да креира злонамерни текови на работа (flows) и да извршува произволен код на серверот со највисоки привилегии“, соопшти Siemens во безбедносното предупредување објавено во август 2026 година.

Проблемот е отстранет во верзијата 4.3.4.1 и сите понови верзии. Како дополнителни мерки за заштита, Siemens им препорачува на корисниците да го деинсталираат Node-RED или да ја зајакнат неговата безбедност со примена на следните чекори:

• Овозможување HTTPS-пристап.
• Заштита на уредувачкиот интерфејс и административниот API преку автентикација со кориснички податоци или преку OAuth/OpenID-провајдер.
• Заштита на HTTP-јазлите и контролната табла на Node-RED со основна автентикација (Basic Authentication).

VulnCheck соопшти дека на 30 октомври 2026 година забележала обиди на напаѓачи за злоупотреба на ранливоста CVE-2026-58115 врз нејзината мрежа од безбедносни мамки (honeypots), со цел преземање и извршување малициозен бот за Linux.

„Барањето испратено од напаѓачот претставуваше целосно подготвен експлоит. Тој распореди тек на работа во Node-RED, автоматски го активираше и презеде извршна датотека од сервер контролиран од напаѓачот, при што користеше три слоја на кодирање“, изјави истражувачот на VulnCheck, Патрик Гарити.

Поконкретно, злонамерниот тек на работа е дизајниран да изврши обвивка (wrapper) во форма на shell-скрипта, која ја користи алатката wget за преземање на бинарната датотека на ботнетот наменета за AMD64 архитектурата од IP-адресата 85.215.73[.]250. Доколку преземањето преку wget не успее, како резервна опција се користи алатката curl.

Во последната фаза, бинарната датотека се зачувува под името „/dev/shm/.b“ и се извршува.

Оттогаш, напаѓачите што стојат зад кампањата преминале на двофазен процес, при што командата wget се користи за преземање дополнителна shell-скрипта („wget.sh“) од истиот сервер.

Откриено е и друго барање со кое се користат алатките wget/curl за пристап до адресата 45.194.90[.]57:38472 и преземање малициозен код (payload) со име „.sys_update“. Датотеката се зачувува на дискот под името „/tmp/.kworker“, во обид да се прикрие како безопасна системска нишка на кернелот (kernel worker thread), по што се извршува. Точната функционалност на датотеките „wget.sh“ и „.kworker“ засега останува непозната, бидејќи истражувачите не успеале да ги преземат.

„Во неколку случаи, барањата воопшто не содржеле алатка за преземање датотеки. Наместо тоа, текот на работа изложува HTTP-влезна точка (на пример /cmd или патека со случајно генерирано име), која преку функционален јазол (function node) е поврзана со извршен јазол (exec node) со овозможена опцијата addpay. На овој начин, напаѓачот може подоцна да извршува произволни команди со нивно проследување преку параметар во URL-барањето“, изјави Гарити.

„Оваа задна врата (backdoor) останува активна дури и ако имплантот што се наоѓа во меморијата биде изгубен при рестартирање на системот.“

Извори:

• The Hacker News – Attackers Exploit Critical Siemens IoT2050 Flaw to Plant Remote Command Backdoors The Hacker News