CVSS 10: SIMATIC IoT2050'de Node-RED Üzerinden Kimliksiz RCE
Siemens SIMATIC IoT2050 Advanced'da (CVE-2026-58115, CVSS 10.0) Node-RED arayüzünde kimlik doğrulama eksikliği: kimliksiz uzaktan komut çalıştırma. Etkilenen sürümler, yama V4.3.4.1 ve geçici önlemler.
Edge gateway, panodaki en masum cihaz gibi görünür — ama SIMATIC IoT2050 Advanced’da ağa açık bırakılmış bir Node-RED arayüzü, CVSS 10.0’lık tam ele geçirme anlamına geliyor. CVE-2026-58115, kimlik doğrulama gerektirmeyen uzaktan kod çalıştırma (RCE) olarak raporlandı.
Zafiyet nasıl çalışıyor?
Sorunun kaynağı, Node-RED HTTP arayüzünde kimlik doğrulama zorunluluğunun olmaması. Kimliği doğrulanmamış bir saldırgan, ağdan Node-RED programlama düğümlerine erişip keyfi sistem komutlarını en yüksek ayrıcalıkla çalıştırabilen “flow”lar kurabiliyor. Sonuç: cihazın ve bağlı sistemlerin tam kaybı — gizlilik, bütünlük, erişilebilirlik üçü birden. Kullanıcı etkileşimi bile gerekmiyor.
Hangi cihazlar etkileniyor?
- Model: SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2)
- Koşul: Industrial OS + kurulu Node-RED
- Etkilenen sürümler: V4.3.4.1 öncesindeki tüm sürümler
Ne yapılmeli?
Siemens yamalı OS sürümü V4.3.4.1 yayınladı; mümkün olan en kısa sürede bu sürüme veya sonrasına geçmek öneriliyor. Yama uygulanamıyorsa geçici önlemler:
- Node-RED HTTP portuna olan ağ erişimini sınırlayın.
- Gerekmiyorsa Node-RED’i devre dışı bırakın veya kaldırın.
- Node-RED güvenlik kılavuzuna göre yapılandırmayı sertleştirin.
- Cihazı korumalı bir IT ortamında çalıştırın.