Максимально серьезная уязвимость безопасности, затрагивающая устройства Siemens SIMATIC IoT2050 Advanced, стала объектом активной эксплуатации, как сообщила компания VulnCheck. Уязвимость, отслеживаемая как CVE-2026-58115 (оценка CVSS: 10.0), представляет собой отсутствие аутентификации для критически важной функции, что может позволить удаленному злоумышленнику без аутентификации выполнять произвольный код.
«Устройства SIMATIC IoT2050 Advanced под управлением Industrial OS с установленным Node-RED содержат уязвимость отсутствия аутентификации в HTTP-интерфейсе Node-RED, которая может позволить удаленному злоумышленнику без аутентификации создавать вредоносные потоки и выполнять произвольный код на базовом сервере с максимальными привилегиями», — заявила Siemens в консультативном документе, опубликованном в августе 2026 года. Проблема была устранена в версиях 4.3.4.1 и выше. В качестве мер по снижению рисков Siemens рекомендует пользователям удалить Node-RED или укрепить установку, следуя приведенным ниже шагам.
По состоянию на 30 октября 2026 года VulnCheck сообщила, что наблюдала попытки злоумышленников использовать CVE-2026-58115 против своей сети honeypot с целью загрузки и запуска Linux-бота. «Запрос злоумышленника представлял собой полный эксплойт, — сказал исследователь VulnCheck Патрик Гаррити. — Он развернул поток Node-RED, автоматически запустил его и загрузил бинарный файл с сервера, контролируемого злоумышленником, причем все это было скрыто тремя уровнями кодирования».
В частности, вредоносный поток предназначен для запуска оболочки скрипта-обертки, которая использует wget для получения бинарного файла ботнета для архитектуры AMD64 с адреса 85.215.73[.]250. Curl используется в качестве резервного варианта, если попытка wget не удалась. На заключительном этапе бинарный файл сохраняется как «/dev/shm/.b» и выполняется. С тех пор злоумышленники, стоящие за кампанией, перешли к двухэтапному процессу, в котором команда wget используется для получения другого скрипта оболочки («wget.sh») с того же сервера.
Была обнаружена еще одна попытка выполнить wget/curl против «45.194.90[.]57:38472» для получения полезной нагрузки под названием «.sys_update», сохранения ее на диске как «/tmp/.kworker» с целью замаскировать ее под безвредный поток ядра, а затем ее выполнения. Точная функциональность «wget.sh» или «.kworker» остается неизвестной, поскольку их не удалось получить.
«Несколько запросов вообще не развертывали загрузчик. Вместо этого поток предоставляет HTTP-вход (например, /cmd или путь со случайным именем), подключенный через узел функции к узлу exec с включенным addpay, чтобы злоумышленник мог позже запускать произвольные команды, передавая их в параметре запроса, — сказал Гаррити. — Эта закладка сохраняется даже в том случае, если имплант, хранящийся в памяти, будет потерян при перезагрузке».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
