VulnCheck meldt op 2 november 2026 dat een aanvaller op 30 oktober 2026 CVE-2026-58115 misbruikte, een Node-RED-kwetsbaarheid in de admin-API zonder authenticatie, om een flow te plaatsen die een Linux-bot downloadt en uitvoert. De CVE is toegekend door Siemens en treft de SIMATIC IoT2050 Advanced.
Kernfeiten
- Volgens VulnCheck ving een van zijn canaries op 30 oktober 2026 een aanval op CVE-2026-58115; tussen 30 oktober en 1 november zag VulnCheck 16 aanvallen vanaf hetzelfde IP-adres op deze CVE. (bron: VulnCheck)
- De aanvaller stuurde één POST /flows met een flow van een inject-node en een exec-node, die automatisch een bestand bot-linux-amd64 downloadde en uitvoerde. Latere aanvallen plaatsten webshells via een http in-endpoint (bijvoorbeeld /cmd). (bron: VulnCheck)
- Siemens SSA-834709 (11 augustus 2026): SIMATIC IoT2050 Advanced, alle versies vóór V4.3.4.1 met Industrial OS en Node-RED, handhaaft geen authenticatie op de HTTP-interface van Node-RED (CVSS v3.1 en v4.0: 10.0). Siemens adviseert updaten naar V4.3.4.1 of later, of Node-RED verwijderen of harden. (bron: VulnCheck)
- VulnCheck heeft de CVE in de eigen KEV-catalogus opgenomen; volgens VulnCheck stond hij op het moment van schrijven niet in de KEV-lijst van CISA. (bron: VulnCheck)
- VulnCheck: Node-RED-installaties zonder adminAuth worden automatisch gevonden en misbruikt. Het advies is te controleren of Node-RED van buiten het netwerk bereikbaar is en flows na te lopen op onverwachte exec-nodes of HTTP-endpoints. (bron: VulnCheck)
Welke Siemens-versie lost CVE-2026-58115 op?
Volgens Siemens SSA-834709: SIMATIC IoT2050 Advanced V4.3.4.1 of later.
Bron
- VulnCheck – Exploitation Targeting Node-RED, a Tool Embedded in ICS Products (2 november 2026)
- Siemens ProductCERT – SSA-834709 (11 augustus 2026)
Datum bron: 2 november 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).