סימנס פרסמה חולשה בהתקני SIMATIC IoT2050 שמריצים את Node-RED: ממשק ה-HTTP של הכלי אינו דורש הזדהות, ולפי הרשומה כל פונה יכול להגיע דרכו אל רכיבים שמריצים פקודות על המערכת. הציון הוא 10, המקסימום בסולם CVSS 4.0. לא ידוע על ניצול.

מה החולשה?

Node-RED הוא כלי שבו בונים תהליך אוטומטי על ידי חיבור קופסאות על מסך: קלט נכנס מכאן, עובר כמה שלבים, ויוצא לשם. הוא נפוץ בהתקנים שיושבים בין חיישנים ובין מערכות, מפני שהוא מאפשר להגדיר את הזרימה בלי לכתוב קוד. בין הקופסאות שהוא מציע יש כאלה שתפקידן להריץ פקודות על המערכת שמתחת.

והבעיה אינה בקופסאות האלה אלא בדלת שלפניהן. לפי הרשומה, ההתקנים אינם אוכפים אימות על ממשק ה-HTTP של Node-RED. כלומר מי שמגיע אל הממשק אינו נדרש להזדהות, ומשם הוא יכול לבנות תהליך חדש שמריץ פקודות ולהפעיל אותו. לסוג הכשל הזה קוראים היעדר אימות בפעולה קריטית, והסיווג שניתן לו הוא CWE-306.

זה גם מה שמסביר ציון 10 ולא פחות. הפנייה מגיעה מהרשת, מורכבות התקיפה נמוכה, אין צורך בהרשאות ואין צורך בפעולה של אדם כלשהו. הרשומה מוסיפה שהקוד מורץ על השרת עם ההרשאות הגבוהות ביותר.

ושווה לשים לב מה אין כאן: אין באג. הרכיב עובד כפי שנכתב, ומה שחסר הוא ההגדרה שתדרוש סיסמה לפני שמשתמשים בו. זה מה שהופך את החולשה לקלה במיוחד לניצול למי שמצא את הממשק.

מי מושפע?

הרשומה מונה ארבעה דגמים, כולם בכל הגרסאות שלפני V4.3.4-1, וכולם במצב שבו ההתקן מריץ את Industrial OS עם Node-RED מותקן: SIMATIC IoT2050 Advanced במספר 6ES7647-0BA00-1YA2, IoT2050 Basic במספר 6ES7647-0BA00-0YA2, IoT2050 M.2 במספר 6ES7647-0BB00-1YA2, ו-IoT2050 SM במספר 6ES7647-0CA00-1AA2.

התנאי השני הוא זה שמשנה בפועל: החולשה קיימת כאשר Node-RED מותקן. התקן שלא הותקן בו הכלי אינו חשוף לנתיב הזה.

בישראל אלה התקנים תעשייתיים, מהסוג שיושב במפעלים, במערכות תשתית ובסביבות בקרה. גולש פרטי אינו פוגש אותם, אבל הם גם לא תמיד מבודדים כפי שמניחים שהם. התקן שהוגדר כדי לשלוח נתונים אל מערכת אחרת הוא התקן שמחובר לרשת, ואם ממשק ה-Node-RED שלו נגיש מאותה רשת, התנאי שהרשומה מתארת מתקיים.

האם מנוצלת בפועל?

לא ידוע על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שיש עדות לשימוש אמיתי בהן, וזה המצב לפי העדכון האחרון של הרשומה ב-4 בנובמבר 2026.

הרשומה פורסמה ב-11 באוגוסט 2026, כלומר היא כבר אינה חדשה, ובמשך שלושת החודשים האלה היא לא נרשמה בקטלוג.

ועדיין כדאי לזכור במה מדובר: ציון 10 בלי שום תנאי מקדים. מה שמגביל את החשיפה אינו מורכבות הניצול אלא השאלה אם הממשק נגיש בכלל ממקום שתוקף נמצא בו. התשובה תלויה ברשת שלכם, לא בחולשה.

מה עושים?

1. עדכנו את ההתקן לגרסה V4.3.4-1 או מאוחרת ממנה. ההנחיות לפי דגם נמצאות בהודעת האבטחה של סימנס.

2. בדקו אם Node-RED מותקן על ההתקן בכלל. הרשומה מתנה את החולשה בכך, ולכן התקן שהכלי אינו דרוש בו הוא התקן שכדאי להסיר אותו ממנו.

3. הגדירו אימות על ממשק Node-RED. זה בדיוק מה שחסר לפי הרשומה, ובהתקן שאינו יכול להתעדכן מיד זאת הפעולה שסוגרת את הנתיב.

4. בדקו מי יכול להגיע אל הממשק ברשת. התקן תעשייתי שנגיש מרשת המשרד, מרשת האורחים או מהאינטרנט חושף את הממשק הזה בדיוק למי שהרשומה מדברת עליו. הגבילו את הגישה לכתובות שזקוקות לה.

5. ואם ההתקן היה נגיש ולא מעודכן, עברו על התהליכים שמוגדרים בו ב-Node-RED. תהליך הוא מה שהתוקף יוצר כדי להריץ פקודות, ולכן תהליך שאיש אצלכם לא בנה הוא הסימן שצריך לחפש.