Siemens SIMATIC IoT2050 Advanced: Schwachstelle durch fehlende Authentifizierung

Siemens ProductCERT hat ein Advisory (SSA-834709) zu einer kritischen Schwachstelle in SIMATIC IoT2050 Advanced Geräten (6ES7647-0BA00-1YA2) mit Industrial OS und installiertem Node-RED veröffentlicht. Die Schwachstelle, verfolgt als CVE-2026-58115, beruht auf fehlender Authentifizierung an der Node-RED HTTP-Schnittstelle, wodurch nicht authentifizierte Remote-Angreifer bösartige Flows erstellen und beliebigen Code auf dem zugrunde liegenden Server mit maximalen Rechten ausführen können. Der CVSS v3.1 Basis-Score beträgt 10.0 (Kritisch). Betroffen sind Versionen vor V4.3.4.1. Siemens empfiehlt ein Update auf V4.3.4.1 oder später und bietet Maßnahmen zur Risikominderung wie die Härtung der Node-RED-Installation oder die Deinstallation von Node-RED. Das Advisory wurde ursprünglich am 11.08.2026 veröffentlicht und von CISA am 25.08.2026 erneut veröffentlicht. Die Schwachstelle betrifft weltweit eingesetzte Geräte, insbesondere in kritischen Infrastruktursektoren wie Chemie, Kritische Fertigung, Energie und Verkehrssysteme.