Mi történt
A VulnCheck biztonsági kutatói október 30-án aktív kihasználást észleltek egy Siemens SIMATIC IoT2050 Advanced eszközöket érintő, maximális, 10,0 CVSS pontszámú hibával (CVE-2026-58115) kapcsolatban. A hibát a Siemens augusztusban hozta nyilvánosságra (SSA-834709 közlemény), a mostani hír arról szól, hogy a nyilvánosságra hozás után hónapokkal a támadók élesben, automatizáltan kihasználják.
A hiba lényege: a Node-RED nevű, az IoT2050-re telepíthető automatizálási eszköz HTTP felülete hiányzó hitelesítés miatt sebezhető. A támadónak nincs szüksége jelszóra vagy bejelentkezésre ahhoz, hogy távolról kódot futtasson a rendszeren.
A támadás menete
A kutatók két fő mintát láttak:
1. Botnet-telepítés. A támadó egy, háromrétegű kódolásba csomagolt, automatikusan induló Node-RED folyamatot tölt fel. Ez egy shell szkriptet futtat, amely wget-tel (vagy ha az nem elérhető, curl-lal) letölt egy Linux botnet-binárist egy külső szerverről, és elrejti a /dev/shm/.b útvonalon, majd futtatja. Egy másik variáns a letöltött fájlt /tmp/.kworker néven menti, szándékosan egy kernel worker szálnak látszó névvel.
2. Közvetlen hátsó kapu. Más esetekben a támadó nem tölt le külön kártevőt, hanem a Node-RED folyamat egy HTTP végpontot (pl. /cmd vagy egy véletlen útvonal) köt egy parancsfuttató (exec) node-hoz. Ezen keresztül egy egyszerű lekérdezési paraméterrel tetszőleges parancsot futtathat a rendszeren. A kutatók szerint ez a hátsó kapu túléli az újraindítást is, mert nem csak a memóriában él, hanem a Node-RED konfigurációjába van beépítve.
Miért érint ez téged, ha ipari IoT-eszközt üzemeltetsz
A SIMATIC IoT2050 tipikusan adatgyűjtésre, protokoll-átalakításra és kis automatizálási feladatokra kerül ipari környezetben, gyakran a gyártási hálózat és a felhő vagy a vállalati rendszerek között. Ha egy ilyen eszköz internet felől elérhető, és rajta fut a Node-RED, a hiba kihasználásával a támadó nem csak az eszközt veszi át, hanem egy belépési pontot is kap az ipari hálózat felé.
A különösen kellemetlen rész a második támadási minta: egy olyan hátsó kapu, amely nem egy külön, könnyen észrevehető kártevő-fájl, hanem a saját automatizálási logikádba van belesimítva, és egy újraindítás sem távolítja el. Ez pontosan az a típusú incidens, ahol egy sima "húzzuk ki, tegyük vissza" nem old meg semmit.
Mit kell tenni
1. Frissíts
A Siemens a 4.3.4.1 vagy újabb verzióban javította a hibát.
2. Ha nem használod a Node-RED-et, távolítsd el
Ha az eszközön a Node-RED telepítve van, de nincs rá szükség, a legegyszerűbb védelem a teljes eltávolítása.
3. Ha szükséges a Node-RED, zárd le
- Kapcsold be a HTTPS-t
- Írj elő hitelesítést (felhasználónév/jelszó, vagy OAuth/OpenID) a szerkesztőhöz és az admin API-hoz
- Kérj alapszintű hitelesítést a HTTP node-okhoz és a Dashboardhoz is
4. Keress rá a kompromittálódás jeleire
/dev/shm/.b,/tmp/.kworker,wget.sh,.sys_updatefájlok- Ismeretlen Node-RED folyamatok, amelyek
wget/curlparancsot futtatnak - HTTP bemeneti végpontok (pl.
/cmd), amelyek exec node-hoz kapcsolódnak - Ismert C2-IP-címek:
85.215.73.250,45.194.90.57:38472
Mivel a hátsó kapu újraindítás után is megmaradhat, egy egyszerű reboot nem bizonyíték a tisztaságra. Gyanú esetén a konfigurációt (a Node-RED folyamatokat) kézzel is át kell nézni.
Amit ebből érdemes tanulni
Az ipari IoT-eszközök gyakran kerülnek úgy üzembe, hogy a rajtuk futó kiegészítő szoftverek (itt a Node-RED) alapértelmezett, hitelesítés nélküli beállítással maradnak, mert a telepítéskor a cél a gyors működés volt, nem a hosszú távú védelem. Ez a hiba pontosan ezen a résen jutott be: nem egy bonyolult, célzott támadás, hanem egy automatizáltan kiszkennelt, internetről elérhető, nyitott felület.
Ha a cégednél van ilyen jellegű ipari IoT- vagy adatgyűjtő eszköz, az első kérdés nem az, hogy pontosan ez a modell van-e nálad, hanem hogy tudod-e felsorolni, milyen kiegészítő szoftverek futnak rajta, és melyik éri el az internetet.
Segítek átnézni. Az ipari hálózat hibaelhárítás és IT/OT szétválasztás szolgáltatás pont ezt térképezi fel: milyen ipari eszközök és kiegészítő szoftverek futnak a hálózaton, mi látszik ki az internet felől, és hol válik el (vagy nem válik el) az irodai és a gyártási hálózat.
Forrás: The Hacker News (2026. november 3.), VulnCheck, Siemens biztonsági közlemény (SSA-834709).