{"id":3969,"date":"2026-11-05T08:27:47","date_gmt":"2026-11-05T16:27:47","guid":{"rendered":"https:\/\/cyber.mag212.com\/siemens-simatic-iot2050-node-red-cve-2026-58115-four-models\/"},"modified":"2026-11-05T08:27:47","modified_gmt":"2026-11-05T16:27:47","slug":"siemens-simatic-iot2050-node-red-cve-2026-58115-four-models","status":"publish","type":"post","link":"https:\/\/cyber.mag212.com\/fr\/siemens-simatic-iot2050-node-red-cve-2026-58115-four-models\/","title":{"rendered":"La faille CVE-2026-58115 de Siemens SIMATIC IoT2050 Node-RED concerne d\u00e9sormais quatre mod\u00e8les\u00a0: mise \u00e0 jour vers la version V4.3.4-1"},"content":{"rendered":"

Siemens a \u00e9tendu son avis de s\u00e9curit\u00e9 concernant une faille de s\u00e9curit\u00e9 critique dans les passerelles industrielles SIMATIC IoT2050. Lors de sa premi\u00e8re publication en ao\u00fbt, cet avis de s\u00e9curit\u00e9 incluait les points suivants\u00a0: SSA-834709<\/strong> Un seul mod\u00e8le \u00e9tait concern\u00e9. La r\u00e9vision du 4 novembre 2026 en mentionne d\u00e9sormais quatre\u00a0: IoT2050 Advanced, Basic, M.2 et SM. Le d\u00e9faut, CVE-2026-58115<\/strong>, score 10.0. Sur les appareils concern\u00e9s qui ex\u00e9cutent Siemens Industrial OS avec Node-RED install\u00e9, l'interface web de Node-RED accepte les modifications sans aucune connexion, de sorte que toute personne qui peut y acc\u00e9der peut ex\u00e9cuter des commandes sur l'appareil avec des privil\u00e8ges complets.<\/p>\n\n

Le timing est crucial. Quelques jours avant la r\u00e9vision, la soci\u00e9t\u00e9 d'analyse des vuln\u00e9rabilit\u00e9s VulnCheck a signal\u00e9 des tentatives d'exploitation en direct contre un leurre Node-RED qu'elle utilise. Par ailleurs, la version de l'avis de la CISA, sur laquelle se basent de nombreux op\u00e9rateurs, ne mentionne toujours que le mod\u00e8le original.<\/p>\n\n

Comment nous \u00e9tiquetons les all\u00e9gations\u00a0: Confirm\u00e9<\/strong> = indiqu\u00e9 par le fournisseur, un enregistrement CVE ou un organisme gouvernemental\u00a0; Signal\u00e9<\/strong> = d\u00e9clar\u00e9 par un chercheur ou un m\u00e9dia nomm\u00e9 ; Analyse MAG212<\/strong> = notre \u00e9valuation ; Inconnu<\/strong> Aucune source consult\u00e9e ne le mentionne. Mise \u00e0 jour le 5 novembre 2026. Par El Mostafa Ouchen.<\/em><\/p>\n\n

Faits cl\u00e9s<\/h2>\n\n
Article<\/th>D\u00e9tail<\/th>Statut<\/th><\/tr><\/thead>
Consultatif<\/td>Siemens ProductCERT SSA-834709, \u201c Vuln\u00e9rabilit\u00e9 d'authentification manquante dans Node-RED sur SIMATIC IoT2050 avec syst\u00e8me d'exploitation industriel \u201d\u00a0; V1.0 11 ao\u00fbt 2026\u00a0; V1.1 4 novembre 2026<\/td>Confirm\u00e9 (Siemens)<\/td><\/tr>
Qu'est-ce qui a chang\u00e9 ?<\/td>La version 1.1 a pr\u00e9cis\u00e9 la liste des produits concern\u00e9s et mis \u00e0 jour le titre et le r\u00e9sum\u00e9\u00a0; le champ d\u2019application est pass\u00e9 d\u2019un \u00e0 quatre mod\u00e8les.<\/td>Confirm\u00e9 (Siemens)<\/td><\/tr>
CVE<\/td>CVE-2026-58115, CWE-306 (authentification manquante pour une fonction critique)<\/td>Confirm\u00e9<\/td><\/tr>
Gravit\u00e9<\/td>CVSS 3.1 10.0 et CVSS 4.0 10.0<\/td>Confirm\u00e9 (Siemens)<\/td><\/tr>
Affect\u00e9<\/td>IoT2050 Advanced, Basic, M.2 et SM, toutes les versions inf\u00e9rieures \u00e0 V4.3.4-1, ex\u00e9cutant Industrial OS avec Node-RED install\u00e9<\/td>Confirm\u00e9 (Siemens)<\/td><\/tr>
R\u00e9parer<\/td>Mettez \u00e0 jour vers la version 4.3.4-1 ou ult\u00e9rieure.<\/td>Confirm\u00e9 (Siemens)<\/td><\/tr>
Exploitation<\/td>VulnCheck a d\u00e9tect\u00e9 une tentative d'exploitation d'une vuln\u00e9rabilit\u00e9 contre un prototype Node-RED le 30 octobre\u00a0; aucune victime en production n'a \u00e9t\u00e9 confirm\u00e9e\u00a0; cette vuln\u00e9rabilit\u00e9 n'est pas r\u00e9pertori\u00e9e dans la base de donn\u00e9es CISA KEV.<\/td>Signal\u00e9 (VulnCheck) ; statut KEV confirm\u00e9<\/td><\/tr>
Avis du CISA<\/td>La norme ICSA-26-237-03 (25 ao\u00fbt) ne mentionne toujours que le mod\u00e8le avanc\u00e9 au 5 novembre.<\/td>Confirm\u00e9 (donn\u00e9es CISA CSAF)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n

Dispositifs concern\u00e9s<\/h2>\n\n
Mod\u00e8le<\/th>Num\u00e9ro d'article<\/th>Versions concern\u00e9es<\/th><\/tr><\/thead>
SIMATIC IoT2050 Avanc\u00e9<\/td>6ES7647-0BA00-1YA2<\/td>Version inf\u00e9rieure \u00e0 V4.3.4-1, avec Node-RED install\u00e9<\/td><\/tr>
SIMATIC IoT2050 Basic<\/td>6ES7647-0BA00-0YA2<\/td>Version inf\u00e9rieure \u00e0 V4.3.4-1, avec Node-RED install\u00e9<\/td><\/tr>
SIMATIC IoT2050 M.2<\/td>6ES7647-0BB00-1YA2<\/td>Version inf\u00e9rieure \u00e0 V4.3.4-1, avec Node-RED install\u00e9<\/td><\/tr>
SIMATIC IoT2050 SM<\/td>6ES7647-0CA00-1AA2<\/td>Version inf\u00e9rieure \u00e0 V4.3.4-1, avec Node-RED install\u00e9<\/td><\/tr><\/tbody><\/table><\/figure>\n\n

Le SIMATIC IoT2050 est une passerelle compacte d'entr\u00e9e de gamme des PC industriels Siemens, souvent utilis\u00e9e pour collecter les donn\u00e9es machines et les transmettre \u00e0 d'autres syst\u00e8mes. La CISA recense les secteurs critiques de la fabrication, de la chimie, de l'\u00e9nergie et des transports parmi ses utilisateurs. Siemens indique la version corrig\u00e9e V4.3.4-1, tandis que la CISA et certaines bases de donn\u00e9es mentionnent la version 4.3.4.1. Il s'agit en fait de la m\u00eame version.<\/p>\n\n

Quel est le d\u00e9faut ?<\/h2>\n\n

Node-RED est un outil low-code populaire permettant de connecter des p\u00e9riph\u00e9riques et des flux de donn\u00e9es via un \u00e9diteur web. Sa documentation est sans d\u00e9tour\u00a0: par d\u00e9faut, l\u2019\u00e9diteur n\u2019est pas s\u00e9curis\u00e9 et toute personne ayant acc\u00e8s \u00e0 son adresse peut l\u2019utiliser. Le s\u00e9curiser implique d\u2019activer les protections. adminAuth<\/code> param\u00e8tre.<\/p>\n\n

Siemens indique que les appareils concern\u00e9s n'imposent pas d'authentification sur l'interface HTTP de Node-RED. De ce fait, un attaquant non authentifi\u00e9 peut acc\u00e9der aux n\u0153uds de programmation de Node-RED, dont certains ex\u00e9cutent des commandes syst\u00e8me. Un attaquant peut ainsi cr\u00e9er un flux malveillant et ex\u00e9cuter du code sur l'appareil avec des privil\u00e8ges maximum. Siemens explique qu'il s'agit d'un probl\u00e8me de configuration de Node-RED sur l'appareil, et non d'un bug dans le code de Node-RED lui-m\u00eame. Statut : Confirm\u00e9 (Siemens).<\/em><\/p>\n\n

Ce que VulnCheck a vu<\/h2>\n\n

VulnCheck a publi\u00e9 des artefacts de d\u00e9tection pour cette faille le 27 octobre. Le 30 octobre, l'un de ses syst\u00e8mes canari, un leurre con\u00e7u pour attirer les attaques, a subi une tentative d'exploitation compl\u00e8te. L'attaquant a envoy\u00e9 une requ\u00eate au syst\u00e8me Node-RED. \/flows<\/code> Point de terminaison ayant cr\u00e9\u00e9 un flux avec un n\u0153ud d'injection, configur\u00e9 pour s'ex\u00e9cuter une seule fois, connect\u00e9 \u00e0 un n\u0153ud d'ex\u00e9cution (ex\u00e9cution de commande). La commande a d\u00e9cod\u00e9 un script qui a t\u00e9l\u00e9charg\u00e9 un programme bot Linux et l'a enregistr\u00e9 sous \/dev\/shm\/.b<\/code> et l'a lanc\u00e9. Entre le 30 octobre et le 1er novembre, la m\u00eame adresse source a g\u00e9n\u00e9r\u00e9 16 tentatives d'exploitation de cette faille. Des variantes ult\u00e9rieures ont d\u00e9pos\u00e9 des fichiers dans \/tmp\/.s<\/code> et \/tmp\/.kworker<\/code>, ou a install\u00e9 un simple shell web via un n\u0153ud d'entr\u00e9e HTTP.<\/p>\n\n

VulnCheck n'a pas pu r\u00e9cup\u00e9rer le programme bot\u00a0; ses capacit\u00e9s restent donc inconnues et il ne revendique aucune victime. Il a ajout\u00e9 la faille \u00e0 sa liste de vuln\u00e9rabilit\u00e9s exploit\u00e9es. Le catalogue KEV de la CISA ne la r\u00e9pertorie pas dans sa version du 4\u00a0novembre. Statut\u00a0: Signal\u00e9 (VulnCheck)\u00a0; KEV confirm\u00e9 (donn\u00e9es KEV de la CISA).<\/em><\/p>\n\n

Analyse MAG212\u00a0:<\/strong> La requ\u00eate d\u00e9tect\u00e9e par VulnCheck correspond \u00e0 une exploitation abusive g\u00e9n\u00e9rique de Node-RED. Elle fonctionnerait sur n'importe quelle instance Node-RED sans authentification, et pas seulement sur les appareils Siemens. Que vous ex\u00e9cutiez Node-RED sur une passerelle, un Raspberry Pi ou un serveur, cette v\u00e9rification est identique.<\/p>\n\n

Pourquoi l'\u00e9cart CISA est important<\/h2>\n\n

En ao\u00fbt, la CISA a republi\u00e9 l'avis de Siemens sous la r\u00e9f\u00e9rence ICSA-26-237-03, intitul\u00e9 \u2019\u00a0IoT2050 Advanced\u00a0\u00bb, mais uniquement pour ce mod\u00e8le. Au 5 novembre, les donn\u00e9es publi\u00e9es par la CISA mentionnaient toujours ce seul mod\u00e8le. Les op\u00e9rateurs qui suivent les avis de s\u00e9curit\u00e9 des syst\u00e8mes de contr\u00f4le industriel (ICS) exclusivement via la CISA, ou dont les \u00e9quipements figurent sur la liste de produits de la CISA, risquent de ne pas se rendre compte que leurs passerelles Basic, M.2 ou SM sont concern\u00e9es. Analyse MAG212\u00a0:<\/strong> Pour les \u00e9quipements Siemens, consid\u00e9rez Siemens ProductCERT comme la source faisant autorit\u00e9 et v\u00e9rifiez-le directement.<\/p>\n\n

Que faire, dans l'ordre<\/h2>\n\n
  1. Trouvez tous les IoT2050<\/strong> sur les quatre mod\u00e8les, v\u00e9rifiez si Node-RED est install\u00e9 et fonctionne sur chacun d'eux.<\/li>
  2. Couper l'acc\u00e8s au r\u00e9seau<\/strong> \u00e0 l'interface Node-RED depuis tout sauf des h\u00f4tes d'ing\u00e9nierie de confiance, et assurez-vous qu'aucun IoT2050 ne soit accessible depuis Internet.<\/li>
  3. Mettez \u00e0 jour vers Industrial OS V4.3.4-1 ou une version ult\u00e9rieure.<\/strong>, la solution de Siemens pour les quatre mod\u00e8les.<\/li>
  4. Si vous ne pouvez pas encore effectuer la mise \u00e0 jour<\/strong>, Siemens propose deux options\u00a0: d\u00e9sinstaller Node-RED ou renforcer la s\u00e9curit\u00e9 de l\u2019installation en suivant le guide d\u2019utilisation de Node-RED.<\/li>
  5. Renforcez Node-RED partout o\u00f9 il est d\u00e9ploy\u00e9.<\/strong>: activer adminAuth<\/code> Avec des mots de passe hach\u00e9s avec bcrypt et les autorisations minimales requises pour chaque utilisateur, activez HTTPS et prot\u00e9gez les points de terminaison HTTP expos\u00e9s par les flux. httpNodeAuth<\/code>.<\/li>
  6. V\u00e9rifier l'absence de falsification<\/strong>: examinez les flux d\u00e9ploy\u00e9s pour les n\u0153uds d'ex\u00e9cution de commandes que vous n'avez pas cr\u00e9\u00e9s et recherchez les fichiers signal\u00e9s par VulnCheck.<\/li><\/ol>\n\n

    Les conseils g\u00e9n\u00e9raux de la CISA en mati\u00e8re de syst\u00e8mes de contr\u00f4le industriel (ICS) s'appliquent \u00e9galement\u00a0: minimiser l'exposition au r\u00e9seau des dispositifs de contr\u00f4le, maintenir les r\u00e9seaux de contr\u00f4le derri\u00e8re des pare-feu et s\u00e9par\u00e9s des r\u00e9seaux d'entreprise, utiliser un acc\u00e8s distant s\u00e9curis\u00e9 et \u00e0 jour, et \u00e9valuer l'impact avant de d\u00e9ployer des changements d\u00e9fensifs sur les syst\u00e8mes de production.<\/p>\n\n

    Comment v\u00e9rifier une instance Node-RED<\/h2>\n\n

    L'API d'administration de Node-RED indique si une connexion est requise. Cette requ\u00eate en lecture seule, effectu\u00e9e depuis un poste de travail d'ing\u00e9nierie pouvant acc\u00e9der au p\u00e9riph\u00e9rique (Linux, macOS ou Windows avec curl\u00a0; aucun privil\u00e8ge particulier\u00a0; remplacez l'adresse et le port\u00a0; non test\u00e9e par MAG212), renvoie un objet vide. {}<\/code> lorsqu'aucune authentification n'est active\u00a0:<\/p>\n\n

    curl -s --max-time 5 http:\/\/192.0.2.20:1880\/auth\/login<\/code><\/pre>\n\n
    Une r\u00e9ponse listant un \"type\":\"credentials\"<\/code> L'invite de connexion indique que l'authentification est configur\u00e9e. 1880 est le port habituel de Node-RED, mais les installations peuvent diff\u00e9rer. Ajustez le sch\u00e9ma ou le chemin si vous utilisez HTTPS ou un chemin d'administration personnalis\u00e9 (httpAdminRoot<\/code>) est configur\u00e9. N'ex\u00e9cutez pas de requ\u00eates d'\u00e9criture sur les p\u00e9riph\u00e9riques de production.<\/p>\n\n
    Que rechercher<\/h2>\n\n