CVE-2026-58115 : des attaquants testent les passerelles Siemens IoT2050 via Node-RED, sans compromission confirmée d’un vrai appareil

La faille en clair

Le SIMATIC IoT2050un petit ordinateur industriel de Siemens qui sert de passerelle entre les machines d’une usine et l’informatique, souvent pour collecter des données de capteurs peut faire tourner Node-REDun outil open source pour créer des automatisations en reliant des blocs, appelés nœuds, dans le navigateur. D’après l’avis SSA-834709 de Siemens, l’interface HTTP de Node-RED sur ces appareils n’exige pas d’authentification. Certains blocs Node-RED exécutent des commandes système : un attaquant qui atteint l’interface peut donc créer un « flux » malveillant et exécuter du code sur l’appareil « avec les privilèges maximaux ».

Siemens a publié l’avis le 11 août 2026, avec un correctif dans la version V4.3.4-1. Le 4 novembre, il l’a mis à jour pour préciser les produits concernés. La liste cite désormais quatre modèles : IoT2050 Advanced, Basic, M.2 et SM.

Ce qui a vraiment été observé

Les signalements d’attaques viennent de VulnCheck, une société de veille sur les vulnérabilités. Dans un billet publié le 2 novembre, elle explique que l’un de ses canarisdes systèmes leurres conçus pour ressembler à un vrai appareil vulnérable, afin d’observer ce que font les attaquants a surpris un attaquant exploitant CVE-2026-58115 le 30 octobre. L’attaquant a envoyé une seule requête qui a installé un flux chargé de télécharger et lancer un programme Linux nommé bot-linux-amd64. VulnCheck n’a pas analysé ce programme : on ignore ce qu’il fait.

VulnCheck a compté 16 événements provenant de la même adresse IP contre cette faille entre le 30 octobre et le 1er novembre. Certaines requêtes n’installaient aucun programme et ajoutaient plutôt une adresse web reliée à un nœud de commandes, un webshellune adresse web cachée qui permet à l’attaquant d’envoyer des commandes au serveur quand il le veut. VulnCheck note que ce type de porte dérobée « survit même si un implant résidant en mémoire disparaît au redémarrage ».

La même adresse a visé huit CVE différentes en quelques jours, dont des failles d’Apache Solr, Gitea, MLflow et Joomla. VulnCheck y voit un balayage opportuniste, pas une opération visant les clients de Siemens.

Ce que les titres déforment

Plusieurs médias ont écrit que des hackers exploitent la faille pour installer des portes dérobées sur des appareils Siemens. Les attaques existent, mais elles ont touché les leurres de VulnCheck. VulnCheck ne signale la compromission d’aucun vrai appareil Siemens. La CISA n’a pas ajouté CVE-2026-58115 à son catalogue des vulnérabilités exploitées connues, et lors de la publication de la CVE en août, son évaluation indiquait une exploitation « nulle ». VulnCheck l’a en revanche ajoutée à sa propre liste.

Concrètement, l’alerte reste sérieuse. Des attaques automatisées contre des interfaces Node-RED exposées ont lieu en ce moment, et un IoT2050 accessible depuis Internet sans connexion serait une cible facile.

Que faire

1. Mettez l’IoT2050 à jour vers V4.3.4-1 ou une version ultérieure, comme le recommande Siemens.
2. Si ce n’est pas encore possible, appliquez les deux mesures de Siemens : sécurisez Node-RED, par exemple en activant la connexion adminAuth, ou désinstallez Node-RED si vous ne l’utilisez pas.
3. Vérifiez si l’interface Node-RED est accessible aujourd’hui depuis l’extérieur de votre réseau. Les équipements industriels doivent rester derrière un pare-feu ou un VPN, comme le rappellent les recommandations générales de Siemens.
4. Passez en revue les flux déjà déployés. Des nœuds exec inconnus, de nouvelles adresses HTTP ou des fichiers comme /dev/shm/.b et /tmp/.kworker sont des signes d’intrusion. La mise à jour ne supprime pas un flux déjà ajouté par un attaquant.

Ce qu’on ignore encore

On ne sait pas combien d’IoT2050 sont exposés en ligne, si un vrai appareil a été compromis, ni qui exploite le serveur à l’origine des attaques. Nous mettrons cette analyse à jour si Siemens, la CISA ou VulnCheck publient davantage.

Pour d’autres failles visant cet automne des équipements exposés à Internet, voyez les attaques contre Ivanti Connect Secure et la liste de la CISA du 26 au 29 octobre, qui comprend une faille du VPN des pare-feu Cisco.