הבקשה שנתפסה במלכודת של חברת המחקר VulnCheck ב-30 באוקטובר לא ניסתה לפרוץ כלום. היא ביקשה לשמור תהליך עבודה חדש בממשק התכנות של המכשיר, בדיוק כמו שמפתח היה עושה, והתהליך הזה הוריד והריץ בוט ללינוקס. CVE-2026-58115, החולשה שפותחת את הדלת, קיבלה את הציון 10.0 מסימנס, והיא יושבת על שער תעשייתי לרצפת הייצור.

סקירה כללית

ה-SIMATIC IoT2050 Advanced יושב בין ציוד ברצפת הייצור לבין הרשת. על ה-Industrial OS שלו אפשר להתקין Node-RED, כלי תכנות חזותי שבו מחברים רכיבים בקווים על המסך לתהליך עבודה. אחד הרכיבים האלה, exec, מריץ פקודות מערכת. זה אינו באג, זאת הנקודה של הכלי.

מה שכן, לא היה אמור לקרות שמי שאינו מזוהה יגיע לשם. בגרסאות שלפני V4.3.4.1 ממשק ה-HTTP של Node-RED על המכשיר לא אכף אימות בכלל, כך שכל מי שמגיע אליו ברשת נכנס אל ממשק הניהול ויכול לשמור תהליכים. לכשל הזה קוראים היעדר אימות בפונקציה קריטית.

מזהה: CVE-2026-58115
סוג: היעדר אימות בפונקציה קריטית (CWE-306)
מוצר: SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) עם Industrial OS ו-Node-RED מותקן
גרסאות מושפעות: כל הגרסאות שלפני V4.3.4.1
גרסה מתוקנת: V4.3.4.1
ניצול בפועל: כן, נצפה נגד מלכודות של VulnCheck מאז 30 באוקטובר 2026. אינה ברשימת ה-KEV של CISA

ציר זמן

11 באוגוסט 2026: סימנס מפרסמת את ההמלצה SSA-834709, והרשומה נרשמת ב-NVD.
27 באוקטובר 2026: VulnCheck משחררת ללקוחות צוות ה-Initial Access שלה חתימות זיהוי ו-PoC.
30 באוקטובר 2026: canary של VulnCheck מתעד ניצול שלם, מהשמירה של התהליך ועד הרצת הבוט.
30 באוקטובר עד 1 בנובמבר 2026: 16 אירועים נוספים, כולם מאותה כתובת IP.

איך הניצול עובד

התוקף שולח אל ה-API של Node-RED תהליך שבנוי משני רכיבים, אחד שמופעל מיד ואחד שמריץ שורת פקודה, והפקודה עטופה בשלוש שכבות קידוד base64. לפי VulnCheck היא מורידה קובץ בשם bot-linux-amd64 משרת התוקף, שומרת אותו כ-/dev/shm/.b, כלומר בזיכרון ולא על הדיסק, ומריצה אותו.

החלק המעניין הוא דווקא הבקשות שלא הורידו דבר. בחלקן התהליך עצמו הוא הדלת האחורית: רכיב שמאזין לנתיב HTTP מחובר אל רכיב ה-exec, כך שהתוקף יריץ פקודות מתי שיבחר דרך פרמטר בכתובת. מטען שיושב בזיכרון נעלם באתחול. תהליך עבודה נשמר בהגדרות המכשיר.

(אותה כתובת IP, אגב, צברה באותם ימים 125 פניות נגד שמונה חולשות שונות, בהן Apache Solr, Gitea ו-Traefik. השער התעשייתי לא נבחר, הוא נסרק.)

ניתוח ציון ה-CVSS

ציון CVSS: 10.0

אין אימות, הבקשה מגיעה ברשת, והממשק מוביל להרצת קוד בהרשאות הגבוהות של המכשיר. את הציון נתנה סימנס בתפקיד ה-CNA, ו-NVD עוד לא ניתחה את הרשומה.

איפה למצוא Proof of Concept (PoC)

הדיווח של VulnCheck על הניצול, שכתב פטריק גאריטי, מפרק את הבקשות שנתפסו, את שכבות הקידוד ואת שרתי המטענים. ה-PoC עצמו שוחרר ללקוחות בלבד ואינו פומבי, כך שהדיווח הזה הוא התיעוד הטכני הזמין.

שווה לשים לב למה שהעדכון ל-V4.3.4.1 אינו עושה: הוא סוגר את הדלת, אבל תהליך שנשמר במכשיר לפני כן נשאר שם. על מכשיר שהיה חשוף לרשת, עברו על רשימת התהליכים לפני שסוגרים את הקריאה.