Siemens SIMATIC IoT2050 Advanced kwetsbaarheid voor ontbrekende authenticatie

Siemens ProductCERT heeft een advies (SSA-834709) gepubliceerd over een kritieke kwetsbaarheid in SIMATIC IoT2050 Advanced-apparaten (6ES7647-0BA00-1YA2) met Industrial OS en Node-RED. De kwetsbaarheid, geregistreerd als CVE-2026-58115, wordt veroorzaakt door ontbrekende authenticatie op de Node-RED HTTP-interface, waardoor niet-geauthenticeerde externe aanvallers kwaadaardige flows kunnen maken en willekeurige code op de onderliggende server met maximale rechten kunnen uitvoeren. De CVSS v3.1-basescore is 10.0 (Kritiek). Getroffen versies zijn die vóór V4.3.4.1. Siemens raadt aan om te updaten naar V4.3.4.1 of later en biedt mitigerende maatregelen zoals het verharden van de Node-RED-installatie of het verwijderen van Node-RED. Het advies is oorspronkelijk uitgebracht op 2026-08-11 en opnieuw gepubliceerd door CISA op 2026-08-25. De kwetsbaarheid treft apparaten wereldwijd, met name in kritieke infrastructuursectoren zoals Chemie, Kritieke productie, Energie en Transportsystemen.