CVE-2026-58115 est une vulnérabilité critique qui touche les passerelles industrielles Siemens SIMATIC IoT2050 Advanced exécutant Node-RED : l’interface d’administration ne demande aucune authentification, ce qui permet à un attaquant distant d’exécuter du code arbitraire avec les droits maximaux. Depuis le 30 octobre 2026, la société de recherche VulnCheck observe une exploitation active sur Internet, avec dépôt de bots Linux et de portes dérobées persistantes. Siemens a publié un correctif.
Qu’est-ce que la vulnérabilité CVE-2026-58115 ? #
Selon l’avis officiel Siemens ProductCERT SSA-834709, CVE-2026-58115 est classée CWE-306 (absence d’authentification pour une fonction critique). Elle touche l’interface HTTP de Node-RED embarquée sur les passerelles SIMATIC IoT2050 Advanced (référence 6ES7647-0BA00-1YA2), dans toutes les versions antérieures à V4.3.4.1 qui font tourner l’Industrial OS avec Node-RED installé.
Cette vulnérabilité affiche un score CVSS de 10,0, le maximum de l’échelle, aussi bien en v3.1 qu’en v4.0. En clair, un attaquant qui atteint cette interface sans le moindre identifiant peut créer un flux Node-RED malveillant, le déclencher automatiquement, puis exécuter n’importe quelle commande système sur l’automate, avec les droits les plus élevés.
Une exploitation active depuis fin octobre #
D’après l’analyse de VulnCheck, un capteur de détection a enregistré une première exploitation réussie le 30 octobre 2026 : une requête POST /flows dépose un flux Node-RED, un nœud « inject » le déclenche automatiquement, puis un nœud « exec » lance une commande shell. VulnCheck a relevé 16 tentatives depuis la même adresse IP entre le 30 octobre et le 1ᵉʳ novembre, une IP hébergée chez Microsoft Azure et géolocalisée au Brésil.
Cette même adresse a aussi ciblé huit autres CVE en quelques jours (Apache Solr, Camunda, Gitea, MLflow, Traefik, Joomla), ce qui évoque un scan opportuniste automatisé plutôt qu’une campagne dédiée aux automates Siemens. La charge déposée télécharge un binaire nommé bot-linux-amd64 depuis un serveur distant, l’enregistre dans /dev/shm/.b (un répertoire en mémoire) et le lance en arrière-plan via setsid ou nohup. Une mise à jour du 1ᵉʳ novembre signale des charges supplémentaires : un script wget.sh, un second binaire déposé sous /tmp/.kworker, et des « web shells » persistants, créés en reliant un nœud « http in » à un nœud « exec » pour garder un accès de commande à distance.
À l’heure où VulnCheck publie son analyse, cette exploitation n’apparaît pas encore dans le catalogue KEV de la CISA, mais VulnCheck l’a ajoutée à son propre catalogue d’exploitation active. L’absence d’un identifiant dans le KEV officiel ne signifie donc pas l’absence de risque réel.
Versions concernées et correctif #
| Produit | Versions affectées | Correctif |
|---|---|---|
| SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) | Industrial OS avec Node-RED < V4.3.4.1 | V4.3.4.1 ou ultérieure |
Siemens met le correctif à disposition sur son portail de support officiel. Les passerelles IoT2050 utilisées hors du cadre Industrial OS, ou sans Node-RED installé, ne sont pas concernées.
Comment se protéger ? #
- Mettre à jour vers Node-RED V4.3.4.1 ou ultérieure sur chaque passerelle SIMATIC IoT2050 Advanced, via le portail de support Siemens.
- Si la mise à jour n’est pas possible immédiatement, désinstallez Node-RED ou durcissez-le en activant
adminAuth, le chiffrement HTTPS et une authentification OAuth/OpenID sur l’éditeur et l’API d’administration, conformément au guide officiel de sécurisation de Node-RED. - Vérifiez l’exposition de l’interface : l’API Node-RED (port par défaut 1880, point d’entrée
/flows) ne doit jamais répondre directement depuis Internet. Un automate industriel dialogue avec son SCADA local, pas avec le monde entier. - Passez en revue les flux déjà déployés à la recherche de nœuds « exec » ou « http in » que personne n’a créés : c’est la trace que laissent les attaquants qui installent une porte dérobée plutôt qu’un simple bot.
- Contrôlez les connexions sortantes et les processus détachés lancés depuis
/dev/shmou/tmpviasetsidounohup, caractéristiques du mode opératoire observé par VulnCheck. - Si une compromission est suspectée, isolez l’automate du réseau, conservez les journaux et les flux avant toute remise à zéro, puis réinitialisez tous les identifiants utilisés sur l’équipement.
L’avis de ForenShield #
Toute passerelle SIMATIC IoT2050 dont l’interface Node-RED répond directement sur Internet doit être traitée en urgence absolue : l’exploitation est déjà automatisée et touche indifféremment plusieurs CVE sur des produits variés, preuve que des robots scannent en continu à la recherche d’instances non protégées. Une passerelle strictement interne, séparée du réseau bureautique par un pare-feu industriel correctement configuré, peut suivre un calendrier de correctif plus classique, sans être négligée pour autant.
Côté détection, mieux vaut raisonner par comportements que par signature unique : requêtes POST inhabituelles vers l’API d’administration de Node-RED en dehors des fenêtres de maintenance connues, apparition de nœuds « exec » ou « http in » absents du flux d’origine, connexions sortantes depuis l’automate vers des hôtes qu’il n’a jamais contactés, ou fichiers exécutables logés dans /dev/shm ou /tmp et lancés par des processus détachés.
Le piège le plus courant consiste à appliquer le correctif sans vérifier si la version précédente a déjà été exploitée : un simple numéro de version à jour ne prouve pas l’absence de porte dérobée déposée avant la mise à jour. De même, l’absence de cette CVE dans le catalogue KEV de la CISA au moment de la rédaction ne doit pas être lue comme un signal de calme : un chercheur privé documente déjà une exploitation active et automatisée. Après correctif, il convient de vérifier qu’aucun flux ni identifiant stocké sur l’automate n’a été exposé, puis de surveiller l’équipement pendant plusieurs semaines.
Points clés #
- CVE-2026-58115 (CVSS 10,0) permet l’exécution de code à distance sans authentification sur les passerelles Siemens SIMATIC IoT2050 Advanced exécutant Node-RED en version antérieure à V4.3.4.1.
- VulnCheck observe une exploitation active et automatisée depuis le 30 octobre 2026, avec dépôt de bots Linux et de portes dérobées persistantes.
- La même adresse d’attaque cible aussi d’autres produits (Apache Solr, Camunda, Gitea, MLflow, Traefik, Joomla), signe d’un scan opportuniste plutôt que d’une campagne dédiée aux automates industriels.
- Le correctif Node-RED V4.3.4.1 est disponible sur le portail de support Siemens ; sans mise à jour possible, désinstaller Node-RED ou activer son authentification est la seule alternative.
- La faille n’est pas encore au catalogue KEV de la CISA au moment de la rédaction, ce qui ne reflète pas l’absence de risque déjà documentée par un chercheur indépendant.
La base CVE de ForenShield permet de retrouver le détail de CVE-2026-58115, et le calculateur CVSS contextualisé aide à prioriser ce type de score selon votre exposition réelle. Un autre exemple d’équipement industriel ciblé par une automatisation malveillante se trouve dans notre article sur les ransomwares visant les bâtiments connectés, et un cas comparable d’accès non authentifié exploité en zero-day dans notre analyse d'Ivanti Connect Secure.