CVE-2026-58115
CRITICAL(10.0)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- CVSS 10 — Kritisch
Erwähnungen (letzte 60 Tage)
EPSS-Score
0.9%
Exploit-Wahrscheinlichkeit (30 Tage)
CVSS Score
10
Technische Schwere
SecBoard-Einordnung
Die Schwachstelle CVE-2026-58115 betrifft SIMATIC IoT2050 Advanced Geräte, die Industrial OS mit installiertem Node-RED in Versionen vor V4.3.4.1 ausführen. Sie ermöglicht einem nicht authentifizierten Angreifer, über die Node-RED HTTP-Schnittstelle auf Programmierknoten zuzugreifen. Dies kann zur Ausführung beliebigen Codes mit maximalen Privilegien auf dem zugrunde liegenden Server führen. Die fehlende Authentifizierung ist hierbei die kritische Schwachstellenart.
KI-gestützte Einordnung auf Basis der NVD-Daten.
Beschreibung
A vulnerability has been identified in SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) (All versions < V4.3.4-1 running Industrial OS with Node-RED installed), SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) (All versions running Example Image versions with Node-RED installed), SIMATIC IoT2050 Basic (6ES7647-0BA00-0YA2) (All versions < V4.3.4-1 running Industrial OS with Node-RED installed), SIMATIC IoT2050 Basic (6ES7647-0BA00-0YA2) (All versions running Example Image versions with Node-RED installed), SIMATIC IoT2050 M.2 (6ES7647-0BB00-1YA2) (All versions < V4.3.4-1 running Industrial OS with Node-RED installed), SIMATIC IoT2050 M.2 (6ES7647-0BB00-1YA2) (All versions running Example Image versions with Node-RED installed), SIMATIC IoT2050 SM (6ES7647-0CA00-1AA2) (All versions < V4.3.4-1 running Industrial OS with Node-RED installed), SIMATIC IoT2050 SM (6ES7647-0CA00-1AA2) (All versions running Example Image versions with Node-RED installed). Affected devices do not enforce authentication on the Node-RED HTTP interface, allowing unauthenticated access to programming nodes that are capable of executing system commands on the server. This could allow an unauthenticated remote attacker to create malicious flows through the HTTP interface in order to execute arbitrary code on the underlying server with maximum privileges.
Erkennung & Indikatoren
Ausnutzung
In den geprüften Quellen nicht genannt
Behobene Versionen
- V4.3.4.1
Threat-Hunting-Queries
Die Schwachstelle ermöglicht unauthentifizierten Zugriff auf die Node-RED HTTP-Schnittstelle, um Systembefehle auszuführen. Die Detektion konzentriert sich auf ungewöhnliche HTTP-Anfragen an Node-RED-Endpunkte, insbesondere solche, die auf die Erstellung oder Änderung von Flows hindeuten, gefolgt von der Ausführung von Systembefehlen auf dem IoT-Gerät. Da Node-RED auf dem IoT2050 Advanced läuft, i
Sentinel/Defender KQL
DeviceProcessEvents
| where InitiatingProcessCommandLine contains "node-red" or InitiatingProcessFileName =~ "node-red"
| where ProcessCommandLine contains "sh" or ProcessCommandLine contains "bash" or ProcessCommandLine contains "powershell" or ProcessCommandLine contains "python"
| where InitiatingProcessParentFileName =~ "node" or InitiatingProcessParentFileName =~ "npm"
| project TimeGenerated, DeviceName, InitiatingProcessCommandLine, ProcessCommandLine, FileName, FolderPath, SHA256Splunk SPL
index=* (sourcetype=linux_audit OR sourcetype=syslog OR sourcetype=windows_security) (process="node-red" OR parent_process="node-red") (command="sh" OR command="bash" OR command="powershell" OR command="python")
| table _time, host, process, parent_process, command, userSigma
title: Node-RED RCE via Missing Authentication
logsource:
category: process_creation
product: linux
detection:
selection:
ParentImage|endswith: '\node'
Image|endswith: '\sh' OR Image|endswith: '\bash' OR Image|endswith: '\python'
CommandLine|contains: 'node-red'
condition: selection
level: criticalElastic ES|QL
from process where process.parent.executable == 'node' and (process.executable == 'sh' or process.executable == 'bash' or process.executable == 'python') and process.args contains 'node-red' | select @timestamp, host.name, process.executable, process.args, process.parent.executableSecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.
Ausgewertete Quellen