Vulnerabilità di autenticazione mancante in Siemens SIMATIC IoT2050 Advanced

Siemens ProductCERT ha pubblicato un advisory (SSA-834709) riguardante una vulnerabilità critica nei dispositivi SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) con Industrial OS e Node-RED installato. La vulnerabilità, tracciata come CVE-2026-58115, è dovuta alla mancata autenticazione sull'interfaccia HTTP di Node-RED, consentendo a attaccanti remoti non autenticati di creare flussi dannosi ed eseguire codice arbitrario sul server sottostante con privilegi massimi. Il punteggio base CVSS v3.1 è 10.0 (Critico). Le versioni interessate sono quelle precedenti alla V4.3.4.1. Siemens raccomanda di aggiornare alla V4.3.4.1 o successiva e fornisce mitigazioni come l'indurimento dell'installazione di Node-RED o la disinstallazione di Node-RED. L'advisory è stato inizialmente rilasciato il 2026-08-11 e ripubblicato da CISA il 2026-08-25. La vulnerabilità colpisce dispositivi distribuiti in tutto il mondo, in particolare nei settori delle infrastrutture critiche, tra cui Chimico, Manifatturiero Critico, Energia e Sistemi di Trasporto.