Vulnérabilité d'authentification manquante dans Siemens SIMATIC IoT2050 Advanced

Siemens ProductCERT a publié un avis (SSA-834709) concernant une vulnérabilité critique dans les appareils SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) exécutant Industrial OS avec Node-RED installé. La vulnérabilité, suivie sous le numéro CVE-2026-58115, est due à une authentification manquante sur l'interface HTTP de Node-RED, permettant à des attaquants distants non authentifiés de créer des flux malveillants et d'exécuter du code arbitraire sur le serveur sous-jacent avec les privilèges maximaux. Le score de base CVSS v3.1 est de 10,0 (Critique). Les versions concernées sont celles antérieures à V4.3.4.1. Siemens recommande de mettre à jour vers V4.3.4.1 ou une version ultérieure, et propose des mesures d'atténuation telles que le durcissement de l'installation de Node-RED ou la désinstallation de Node-RED. L'avis a été initialement publié le 2026-08-11 et republié par la CISA le 2026-08-25. La vulnérabilité affecte les appareils déployés dans le monde entier, en particulier dans les secteurs d'infrastructures critiques, notamment les secteurs chimique, de la fabrication critique, de l'énergie et des systèmes de transport.