西门子SIMATIC IoT2050 Advanced存在缺失身份验证漏洞

西门子ProductCERT发布了一份安全公告（SSA-834709），涉及SIMATIC IoT2050 Advanced设备（6ES7647-0BA00-1YA2）在运行Industrial OS并安装Node-RED时存在的一个严重漏洞。该漏洞编号为CVE-2026-58115，源于Node-RED HTTP接口缺少身份验证，允许未经身份验证的远程攻击者创建恶意流程并在底层服务器上以最高权限执行任意代码。CVSS v3.1基础评分为10.0（严重）。受影响版本为V4.3.4.1之前的版本。西门子建议升级至V4.3.4.1或更高版本，并提供缓解措施，如强化Node-RED安装或卸载Node-RED。该公告最初于2026年8月11日发布，CISA于2026年8月25日转发。该漏洞影响全球部署的设备，尤其涉及关键基础设施领域，包括化工、关键制造、能源和交通运输系统。