Kẻ tấn công khai thác lỗ hổng nghiêm trọng trên Siemens IoT2050
"A critical authentication flaw (CVE-2026-58115) in Siemens SIMATIC IoT2050 Advanced devices allows unauthenticated remote attackers to execute arbitrary code. Attackers are actively exploiting this vulnerability to deploy Linux bots via Node-RED, employing techniques like multi-layered encoding and shell scripts. Mitigation involves updating to version 4.3.4.1 or implementing security hardening measures for Node-RED."
Lỗ hổng CVE-2026-58115 cho phép thực thi mã từ xa mà không cần xác thực, gây ra mất kiểm soát hệ thống.
Các doanh nghiệp sử dụng thiết bị IoT2050 có thể gặp phải gián đoạn hoạt động, mất dữ liệu và thiệt hại về uy tín do tấn công từ xa.
Siemens xác nhận lỗ hổng bảo mật nghiêm trọng (CVE-2026-58115) trên thiết bị SIMATIC IoT2050 Advanced, cho phép kẻ tấn công từ xa thực thi mã tùy ý mà không cần xác thực. VulnCheck phát hiện các cuộc tấn công đang lợi dụng lỗ hổng này để cài đặt bot Linux thông qua Node-RED, sử dụng kỹ thuật mã hóa nhiều lớp và script shell.
Lỗ hổng nằm ở việc thiếu xác thực cho một chức năng quan trọng. Siemens đã phát hành bản vá phiên bản 4.3.4.1 để khắc phục. Các biện pháp giảm thiểu khác bao gồm gỡ cài đặt Node-RED hoặc tăng cường bảo mật bằng cách kích hoạt HTTPS, xác thực API và bảo vệ các node HTTP.
Ngày 30/10/2026, VulnCheck ghi nhận kẻ tấn công cố gắng khai thác CVE-2026-58115 trên mạng honeypot của họ. Kẻ tấn công triển khai một flow Node-RED, kích hoạt nó tự động và tải xuống một binary từ máy chủ điều khiển (85.215.73[.]250) thông qua ba lớp mã hóa.
Sau đó, chúng chuyển sang quy trình hai giai đoạn, sử dụng wget để tải script khác ("wget.sh") từ cùng máy chủ. Một yêu cầu khác tải payload ".sys_update" từ 45.194.90[.]57:38472 và lưu dưới dạng ".kworker" để ngụy trang thành tiến trình kernel. Một số yêu cầu không tải xuống gì, thay vào đó tạo một endpoint HTTP để thực thi lệnh tùy ý thông qua tham số truy vấn. Backdoor này vẫn hoạt động ngay cả khi implant dựa trên bộ nhớ bị mất sau khi khởi động lại.
Câu hỏi thường gặp
CVE-2026-58115 là gì?
CVE-2026-58115 là một lỗ hổng bảo mật nghiêm trọng trên thiết bị Siemens SIMATIC IoT2050 Advanced, cho phép kẻ tấn công từ xa thực thi mã tùy ý mà không cần xác thực.
Làm thế nào để khắc phục lỗ hổng này?
Siemens đã phát hành bản vá phiên bản 4.3.4.1 để khắc phục lỗ hổng. Các biện pháp giảm thiểu khác bao gồm gỡ cài đặt Node-RED hoặc tăng cường bảo mật cài đặt Node-RED.
Kẻ tấn công đang khai thác lỗ hổng này như thế nào?
Kẻ tấn công đang sử dụng lỗ hổng này để cài đặt bot Linux thông qua Node-RED, sử dụng kỹ thuật mã hóa nhiều lớp và script shell. Chúng cũng sử dụng các kỹ thuật ngụy trang để che giấu hoạt động của mình.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng quan ngại với các doanh nghiệp Việt Nam đang sử dụng thiết bị IoT2050 trong các hệ thống công nghiệp. Việc cập nhật lên phiên bản 4.3.4.1 là cần thiết ngay lập tức. Các doanh nghiệp nên kiểm tra hệ thống của mình để xác định xem có thiết bị nào bị ảnh hưởng hay không và triển khai các biện pháp giảm thiểu được khuyến nghị.