Siemens IoT2050 : la faille Node-RED notée 10,0 est exploitée

Le 30 octobre 2026, VulnCheck a enregistré une exploitation de CVE-2026-58115, une faille notée 10,0 sur 10, qui permet à un attaquant sans compte de prendre le contrôle d’un automate Siemens SIMATIC IoT2050 Advanced lorsque l’outil Node-RED y est installé. Le correctif, la version V4.3.4.1, est public depuis le 11 août 2026.

Une interface sans authentification, corrigée le 11 août 2026

L’avis SSA-834709 du ProductCERT de Siemens, daté du 11 août 2026 et resté en version V1.0, décrit une authentification absente sur l’interface HTTP de Node-RED. Le produit visé est le SIMATIC IoT2050 Advanced, référence 6ES7647-0BA00-1YA2, un boîtier compact de la gamme SIMATIC IOT, lorsqu’il fonctionne sous Industrial OS avec Node-RED installé. Toutes les versions antérieures à V4.3.4.1 sont concernées. Siemens rattache le défaut au CWE-306, une fonction critique sans contrôle d’accès. Le score du Common Vulnerability Scoring System (CVSS) atteint 10,0 dans les barèmes 3.1 et 4.0.

Une personne qui joint cette interface depuis le réseau peut y déposer un enchaînement de traitements et faire exécuter du code sur l’appareil, avec les privilèges les plus élevés. Siemens publie le correctif en V4.3.4.1 ou ultérieure, sous le numéro de téléchargement 109741799, et cite le retrait de Node-RED comme autre parade. L’avis renvoie aussi au guide de durcissement : HTTPS, protection de l’éditeur et de l’administration par identifiant ou par OAuth ou OpenID, et authentification simple sur les nœuds HTTP et le tableau de bord. Le constructeur demande de ne pas exposer ces appareils directement sur Internet.

Seize tentatives du 30 octobre au 1er novembre 2026

Patrick Garrity, chercheur chez VulnCheck, a publié le compte rendu le 2 novembre 2026. Le 30 octobre 2026, un pot de miel a reçu une requête complète : elle déposait un flux Node-RED, le déclenchait seule, puis tentait de télécharger et de lancer un programme pour Linux. VulnCheck ne l’a pas récupéré et ne dit pas s’il ouvre un accès distant, mine de la cryptomonnaie, ou fait autre chose.

The attacker's request was a complete exploit.

La même adresse a recommencé. Elle est dans le réseau de Microsoft, le système autonome AS8075, et VulnCheck la situe au Brésil. Du 30 octobre au 1er novembre 2026, elle a produit 16 événements contre CVE-2026-58115, avec plusieurs charges. Certaines ne déposent pas de programme : elles laissent une entrée HTTP capable de lancer des commandes plus tard. Cette entrée survit à un redémarrage, contrairement à un fichier placé seulement en mémoire vive. Les scripts intermédiaires n’ont pas été récupérés, et VulnCheck n’en décrit pas l’effet.

Sur les derniers jours couverts par le billet, cette adresse a aussi envoyé 125 requêtes vers huit failles distinctes, sur des produits sans lien entre eux, dont d’anciennes. VulnCheck y lit un balayage opportuniste, depuis une machine souvent louée ou compromise, et non une intrusion préparée contre un site nommé. L’adresse ne désigne pas l’opérateur.

VulnCheck avait préparé une détection de cette CVE le 27 octobre 2026. Le pot de miel l’a vue trois jours plus tard, et l’éditeur l’a inscrite dans son catalogue des vulnérabilités exploitées. Le 2 novembre 2026, il indiquait qu’elle n’était pas au catalogue KEV de la Cybersecurity and Infrastructure Security Agency (CISA), aux États-Unis. La version publique 2026.10.30 de ce catalogue, publiée le 30 octobre 2026, ne la contenait pas non plus le 3 novembre 2026.

VulnCheck étend l’alerte : toute instance de Node-RED joignable sans authentification d’administration peut être reprogrammée à distance. La documentation du groupe Emerson mentionne Node-RED, mais l’éditeur n’a pas vérifié si ces produits sont touchés par CVE-2026-58115. Dans l’avis Siemens, le score de 10,0 et les versions à mettre à jour ne concernent que le SIMATIC IoT2050 Advanced.

La version à contrôler, et les flux déjà déposés

Le correctif a plus de deux mois. Depuis le 30 octobre 2026, des requêtes automatiques cherchent les interfaces encore ouvertes, et une seule suffit à y déposer un flux. Un flux déposé avant la mise à jour peut rester ensuite : il faut le relire, pas seulement changer de version.

KLYNLABS a détaillé le cas des deux failles d’Ivanti Connect Secure, exploitées avant l’installation des versions qui les ferment.

Sources

• Avis Siemens SSA-834709, 11 août 2026, ProductCERT.

• Téléchargement Siemens 109741799, versions du SIMATIC IoT2050 Advanced.

• Durcissement de Node-RED, guide cité par Siemens pour l’authentification et le HTTPS.

• Exploitation Targeting Node-RED, Patrick Garrity, VulnCheck, 2 novembre 2026.

• The Hacker News, dépêche du 3 novembre 2026 qui reprend le billet VulnCheck et l’avis Siemens.