Aanvallers misbruiken een ernstige kwetsbaarheid in Siemens SIMATIC IoT2050 om op afstand backdoors te installeren en kwaadaardige code uit te voeren.
Een kritieke beveiligingsfout in Siemens SIMATIC IoT2050 Advanced-apparaten wordt actief misbruikt door aanvallers om op afstand backdoors te plaatsen. De kwetsbaarheid, geregistreerd als CVE-2026-58115 met een maximale CVSS-score van 10.0, betreft het ontbreken van authenticatie voor een cruciale functie. Hierdoor kan een niet-geauthenticeerde aanvaller willekeurige code uitvoeren met maximale rechten op het onderliggende systeem.
Volgens Siemens bevatten SIMATIC IoT2050 Advanced-apparaten die draaien op Industrial OS met Node-RED geïnstalleerd een kwetsbaarheid in de Node-RED HTTP-interface. Deze maakt het mogelijk voor een externe aanvaller om kwaadaardige flows te creëren en uit te voeren zonder authenticatie. Siemens heeft deze kwetsbaarheid verholpen in versie 4.3.4.1 en later. Als mitigatie adviseert Siemens gebruikers om Node-RED te verwijderen of de installatie te beveiligen door HTTPS in te schakelen, de editor en admin API te beschermen met op credentials gebaseerde authenticatie of via een OAuth/OpenID-provider, en de HTTP Nodes en Node-RED Dashboard te beveiligen met basis authenticatie, zoals beschreven in de officiële documentatie.
Vanaf 30 oktober 2026 observeerde beveiligingsonderzoeker VulnCheck actieve pogingen om deze kwetsbaarheid te misbruiken tegen hun honeypot-netwerk. Aanvallers probeerden een Linux-botnet te downloaden en uit te voeren via een Node-RED flow die automatisch werd geactiveerd. De kwaadaardige flow start een shellscript wrapper die met wget een botnet-binary ophaalt van het IP-adres 85.215.73.250. Als wget faalt, wordt curl als fallback gebruikt. De binary wordt opgeslagen als "/dev/shm/.b" en uitgevoerd.
Later schakelden de aanvallers over op een tweefasenproces waarbij eerst een shellscript "wget.sh" wordt opgehaald van dezelfde server. Vervolgens wordt een payload met de naam ".sys_update" gedownload van 45.194.90.57:38472, opgeslagen als "/tmp/.kworker" om zich te vermommen als een onschuldige kernel worker thread, en uitgevoerd. De exacte werking van "wget.sh" en ".kworker" is onbekend omdat deze niet konden worden opgehaald.
Daarnaast werden ook flows aangetroffen die geen downloader bevatten, maar een HTTP endpoint blootstellen (bijvoorbeeld /cmd of een willekeurig pad) dat via een function node is verbonden met een exec node met addpay ingeschakeld. Hierdoor kunnen aanvallers later willekeurige commando’s uitvoeren door deze mee te geven als queryparameter. Deze backdoor blijft actief, zelfs als een geheugen-gebaseerde implantaat verloren gaat na een herstart.
