ARTICLE ORIGINAL MAG212 CYBER

La faille CVE-2026-58115 de Siemens SIMATIC IoT2050 Node-RED concerne désormais quatre modèles : mise à jour vers la version V4.3.4-1

5 novembre 2026 · El Mostafa Ouchen

Siemens a étendu son avis de sécurité concernant une faille de sécurité critique dans les passerelles industrielles SIMATIC IoT2050. Lors de sa première publication en août, cet avis de sécurité incluait les points suivants : SSA-834709 Un seul modèle était concerné. La révision du 4 novembre 2026 en mentionne désormais quatre : IoT2050 Advanced, Basic, M.2 et SM. Le défaut, CVE-2026-58115, score 10.0. Sur les appareils concernés qui exécutent Siemens Industrial OS avec Node-RED installé, l'interface web de Node-RED accepte les modifications sans aucune connexion, de sorte que toute personne qui peut y accéder peut exécuter des commandes sur l'appareil avec des privilèges complets.

Le timing est crucial. Quelques jours avant la révision, la société d'analyse des vulnérabilités VulnCheck a signalé des tentatives d'exploitation en direct contre un leurre Node-RED qu'elle utilise. Par ailleurs, la version de l'avis de la CISA, sur laquelle se basent de nombreux opérateurs, ne mentionne toujours que le modèle original.

Comment nous étiquetons les allégations : Confirmé = indiqué par le fournisseur, un enregistrement CVE ou un organisme gouvernemental ; Signalé = déclaré par un chercheur ou un média nommé ; Analyse MAG212 = notre évaluation ; Inconnu Aucune source consultée ne le mentionne. Mise à jour le 5 novembre 2026. Par El Mostafa Ouchen.

Faits clés

Article	Détail	Statut
Consultatif	Siemens ProductCERT SSA-834709, “ Vulnérabilité d'authentification manquante dans Node-RED sur SIMATIC IoT2050 avec système d'exploitation industriel ” ; V1.0 11 août 2026 ; V1.1 4 novembre 2026	Confirmé (Siemens)
Qu'est-ce qui a changé ?	La version 1.1 a précisé la liste des produits concernés et mis à jour le titre et le résumé ; le champ d’application est passé d’un à quatre modèles.	Confirmé (Siemens)
CVE	CVE-2026-58115, CWE-306 (authentification manquante pour une fonction critique)	Confirmé
Gravité	CVSS 3.1 10.0 et CVSS 4.0 10.0	Confirmé (Siemens)
Affecté	IoT2050 Advanced, Basic, M.2 et SM, toutes les versions inférieures à V4.3.4-1, exécutant Industrial OS avec Node-RED installé	Confirmé (Siemens)
Réparer	Mettez à jour vers la version 4.3.4-1 ou ultérieure.	Confirmé (Siemens)
Exploitation	VulnCheck a détecté une tentative d'exploitation d'une vulnérabilité contre un prototype Node-RED le 30 octobre ; aucune victime en production n'a été confirmée ; cette vulnérabilité n'est pas répertoriée dans la base de données CISA KEV.	Signalé (VulnCheck) ; statut KEV confirmé
Avis du CISA	La norme ICSA-26-237-03 (25 août) ne mentionne toujours que le modèle avancé au 5 novembre.	Confirmé (données CISA CSAF)

Dispositifs concernés

Modèle	Numéro d'article	Versions concernées
SIMATIC IoT2050 Avancé	6ES7647-0BA00-1YA2	Version inférieure à V4.3.4-1, avec Node-RED installé
SIMATIC IoT2050 Basic	6ES7647-0BA00-0YA2	Version inférieure à V4.3.4-1, avec Node-RED installé
SIMATIC IoT2050 M.2	6ES7647-0BB00-1YA2	Version inférieure à V4.3.4-1, avec Node-RED installé
SIMATIC IoT2050 SM	6ES7647-0CA00-1AA2	Version inférieure à V4.3.4-1, avec Node-RED installé

Le SIMATIC IoT2050 est une passerelle compacte d'entrée de gamme des PC industriels Siemens, souvent utilisée pour collecter les données machines et les transmettre à d'autres systèmes. La CISA recense les secteurs critiques de la fabrication, de la chimie, de l'énergie et des transports parmi ses utilisateurs. Siemens indique la version corrigée V4.3.4-1, tandis que la CISA et certaines bases de données mentionnent la version 4.3.4.1. Il s'agit en fait de la même version.

Quel est le défaut ?

Node-RED est un outil low-code populaire permettant de connecter des périphériques et des flux de données via un éditeur web. Sa documentation est sans détour : par défaut, l’éditeur n’est pas sécurisé et toute personne ayant accès à son adresse peut l’utiliser. Le sécuriser implique d’activer les protections. adminAuth paramètre.

Siemens indique que les appareils concernés n'imposent pas d'authentification sur l'interface HTTP de Node-RED. De ce fait, un attaquant non authentifié peut accéder aux nœuds de programmation de Node-RED, dont certains exécutent des commandes système. Un attaquant peut ainsi créer un flux malveillant et exécuter du code sur l'appareil avec des privilèges maximum. Siemens explique qu'il s'agit d'un problème de configuration de Node-RED sur l'appareil, et non d'un bug dans le code de Node-RED lui-même. Statut : Confirmé (Siemens).

Ce que VulnCheck a vu

VulnCheck a publié des artefacts de détection pour cette faille le 27 octobre. Le 30 octobre, l'un de ses systèmes canari, un leurre conçu pour attirer les attaques, a subi une tentative d'exploitation complète. L'attaquant a envoyé une requête au système Node-RED. /flows Point de terminaison ayant créé un flux avec un nœud d'injection, configuré pour s'exécuter une seule fois, connecté à un nœud d'exécution (exécution de commande). La commande a décodé un script qui a téléchargé un programme bot Linux et l'a enregistré sous /dev/shm/.b et l'a lancé. Entre le 30 octobre et le 1er novembre, la même adresse source a généré 16 tentatives d'exploitation de cette faille. Des variantes ultérieures ont déposé des fichiers dans /tmp/.s et /tmp/.kworker, ou a installé un simple shell web via un nœud d'entrée HTTP.

VulnCheck n'a pas pu récupérer le programme bot ; ses capacités restent donc inconnues et il ne revendique aucune victime. Il a ajouté la faille à sa liste de vulnérabilités exploitées. Le catalogue KEV de la CISA ne la répertorie pas dans sa version du 4 novembre. Statut : Signalé (VulnCheck) ; KEV confirmé (données KEV de la CISA).

Analyse MAG212 : La requête détectée par VulnCheck correspond à une exploitation abusive générique de Node-RED. Elle fonctionnerait sur n'importe quelle instance Node-RED sans authentification, et pas seulement sur les appareils Siemens. Que vous exécutiez Node-RED sur une passerelle, un Raspberry Pi ou un serveur, cette vérification est identique.

Pourquoi l'écart CISA est important

En août, la CISA a republié l'avis de Siemens sous la référence ICSA-26-237-03, intitulé ’ IoT2050 Advanced », mais uniquement pour ce modèle. Au 5 novembre, les données publiées par la CISA mentionnaient toujours ce seul modèle. Les opérateurs qui suivent les avis de sécurité des systèmes de contrôle industriel (ICS) exclusivement via la CISA, ou dont les équipements figurent sur la liste de produits de la CISA, risquent de ne pas se rendre compte que leurs passerelles Basic, M.2 ou SM sont concernées. Analyse MAG212 : Pour les équipements Siemens, considérez Siemens ProductCERT comme la source faisant autorité et vérifiez-le directement.

Que faire, dans l'ordre

Trouvez tous les IoT2050 sur les quatre modèles, vérifiez si Node-RED est installé et fonctionne sur chacun d'eux.
Couper l'accès au réseau à l'interface Node-RED depuis tout sauf des hôtes d'ingénierie de confiance, et assurez-vous qu'aucun IoT2050 ne soit accessible depuis Internet.
Mettez à jour vers Industrial OS V4.3.4-1 ou une version ultérieure., la solution de Siemens pour les quatre modèles.
Si vous ne pouvez pas encore effectuer la mise à jour, Siemens propose deux options : désinstaller Node-RED ou renforcer la sécurité de l’installation en suivant le guide d’utilisation de Node-RED.
Renforcez Node-RED partout où il est déployé.: activer adminAuth Avec des mots de passe hachés avec bcrypt et les autorisations minimales requises pour chaque utilisateur, activez HTTPS et protégez les points de terminaison HTTP exposés par les flux. httpNodeAuth.
Vérifier l'absence de falsification: examinez les flux déployés pour les nœuds d'exécution de commandes que vous n'avez pas créés et recherchez les fichiers signalés par VulnCheck.

Les conseils généraux de la CISA en matière de systèmes de contrôle industriel (ICS) s'appliquent également : minimiser l'exposition au réseau des dispositifs de contrôle, maintenir les réseaux de contrôle derrière des pare-feu et séparés des réseaux d'entreprise, utiliser un accès distant sécurisé et à jour, et évaluer l'impact avant de déployer des changements défensifs sur les systèmes de production.

Comment vérifier une instance Node-RED

L'API d'administration de Node-RED indique si une connexion est requise. Cette requête en lecture seule, effectuée depuis un poste de travail d'ingénierie pouvant accéder au périphérique (Linux, macOS ou Windows avec curl ; aucun privilège particulier ; remplacez l'adresse et le port ; non testée par MAG212), renvoie un objet vide. {} lorsqu'aucune authentification n'est active :

curl -s --max-time 5 http://192.0.2.20:1880/auth/login

Une réponse listant un "type":"credentials" L'invite de connexion indique que l'authentification est configurée. 1880 est le port habituel de Node-RED, mais les installations peuvent différer. Ajustez le schéma ou le chemin si vous utilisez HTTPS ou un chemin d'administration personnalisé (httpAdminRoot) est configuré. N'exécutez pas de requêtes d'écriture sur les périphériques de production.

Que rechercher

Requêtes HTTP POST vers /flows à partir d'hôtes autres que les postes de travail de vos ingénieurs.
Flux contenant des nœuds “ exec ” ou des nœuds “ http in ” connectés à des nœuds “ exec ”, que personne de votre équipe n'a créés.
Des fichiers tels que /dev/shm/.b, /tmp/.s ou /tmp/.kworker sur l'appareil.
Des téléchargements sortants inattendus depuis la passerelle, en particulier avec wget ou curl.

L'automatisation légitime utilise parfois des nœuds d'exécution ; comparez donc avec vos flux documentés avant de passer à l'étape suivante.

Foire aux questions

La vulnérabilité CVE-2026-58115 est-elle exploitée ?

VulnCheck a détecté une tentative d'exploitation d'une faille de sécurité ciblant un leurre le 30 octobre, ainsi que des tentatives répétées par la suite. Aucune victime réelle n'a été signalée et cette faille ne figure pas dans le catalogue KEV de la CISA.

Mon IoT2050 ne prend pas en charge Node-RED. Suis-je concerné ?

Siemens indique que les appareils sont concernés uniquement lorsque Node-RED est installé. Vérifiez qu'il n'est pas installé et effectuez la mise à jour malgré tout.

Pourquoi la CISA ne répertorie-t-elle qu'un seul modèle ?

La CISA a republié l'avis initial de Siemens d'août et, au 5 novembre, ne l'avait pas mis à jour suite à la révision de Siemens du 4 novembre. Veuillez vous référer à l'avis de Siemens.

Lire le numéro complet du MAG212 CYBER Daily d'aujourd'hui (gratuit) →

Abonnez-vous gratuitement