खामी क्या है

SIMATIC IoT2050Siemens का छोटा इंडस्ट्रियल कंप्यूटर, जो फ़ैक्टरी मशीनों और IT सिस्टम के बीच गेटवे का काम करता है, अक्सर सेंसर का डेटा इकट्ठा करने के लिए पर Node-REDओपन-सोर्स टूल जिससे ब्राउज़र में नोड नाम के ब्लॉक जोड़कर ऑटोमेशन बनाए जाते हैं चल सकता है। Siemens की सूचना SSA-834709 के अनुसार इन डिवाइस पर Node-RED का HTTP इंटरफ़ेस ऑथेंटिकेशन नहीं माँगता। Node-RED के कुछ ब्लॉक सिस्टम कमांड चला सकते हैं, इसलिए इंटरफ़ेस तक पहुँचने वाला हमलावर एक नुक़सानदेह "फ़्लो" बनाकर डिवाइस पर "अधिकतम अधिकारों के साथ" कोड चला सकता है।

Siemens ने यह सूचना 11 अगस्त 2026 को जारी की थी, और सुधार V4.3.4-1 वर्शन में है। 4 नवंबर को सूचना अपडेट करके प्रभावित प्रोडक्ट साफ़ किए गए। अब सूची में चार मॉडल हैं: IoT2050 Advanced, Basic, M.2 और SM।

CVE-2026-58115

प्रभावित प्रोडक्ट
Siemens SIMATIC IoT2050 (Node-RED)
जोखिम वाले वर्शन
IoT2050 Advanced, Basic, M.2 और SM, V4.3.4-1 से पहले, Industrial OS पर Node-RED इंस्टॉल होने पर
इस वर्शन में ठीक
V4.3.4-1 या बाद का; तब तक Node-RED को सुरक्षित करें या हटाएँ
गंभीरता
CVSS 3.1 स्कोर 10.0, स्कोर देने वाला: Siemens (CNA)
हमलों में इस्तेमाल
हमले की कोशिशें देखी गईं, सेंध की पुष्टि अभी नहीं
CVE प्रकाशित

असल में क्या देखा गया

हमलों की जानकारी VulnCheck से आती है, जो कमज़ोरियों पर जानकारी जुटाने वाली कंपनी है। 2 नवंबर को प्रकाशित एक पोस्ट में वह बताती है कि उसके एक कैनरीअसली कमज़ोर डिवाइस जैसा दिखने के लिए बनाया गया नकली सिस्टम, ताकि रिसर्चर देख सकें कि हमलावर क्या करते हैं ने 30 अक्टूबर को एक हमलावर को CVE-2026-58115 का इस्तेमाल करते पकड़ा। हमलावर ने एक ही रिक्वेस्ट भेजी, जिससे एक फ़्लो इंस्टॉल हुआ जो bot-linux-amd64 नाम का Linux प्रोग्राम डाउनलोड करके चलाता है। VulnCheck ने उस प्रोग्राम का विश्लेषण नहीं किया, इसलिए वह क्या करता है, यह पता नहीं।

VulnCheck ने 30 अक्टूबर से 1 नवंबर के बीच इसी IP पते से इस खामी के ख़िलाफ़ 16 घटनाएँ गिनीं। कुछ रिक्वेस्ट ने कोई प्रोग्राम इंस्टॉल नहीं किया, बल्कि कमांड नोड से जुड़ा एक वेब पता जोड़ दिया, यानी वेबशेलछिपा हुआ वेब पता जिससे हमलावर जब चाहे सर्वर को कमांड भेज सकता है। VulnCheck के मुताबिक इस तरह का बैकडोर "तब भी बना रहता है जब मेमोरी में रहने वाला इम्प्लांट रीबूट पर ख़त्म हो जाए"।

इसी पते ने कुछ दिनों में आठ अलग CVE पर हमला किया, जिनमें Apache Solr, Gitea, MLflow और Joomla की खामियाँ हैं। VulnCheck इसे मौक़े की तलाश में की गई स्कैनिंग मानती है, न कि Siemens के ग्राहकों पर निशाना साधकर किया गया ऑपरेशन।

सुर्ख़ियाँ कहाँ ग़लत हैं

कई मीडिया ने लिखा कि हैकर इस खामी से Siemens डिवाइस में बैकडोर डाल रहे हैं। हमले असली हैं, लेकिन वे VulnCheck के नकली सिस्टम पर हुए। VulnCheck किसी असली Siemens डिवाइस में सेंध की बात नहीं कहती। CISA ने CVE-2026-58115 को Known Exploited Vulnerabilities सूची में नहीं जोड़ा है, और अगस्त में CVE प्रकाशित होने पर CISA के आकलन में इस्तेमाल "कोई नहीं" दर्ज था। VulnCheck ने इसे अपनी इस्तेमाल हो रही कमज़ोरियों की सूची में डाला है।

व्यवहार में चेतावनी फिर भी गंभीर है। खुले Node-RED इंटरफ़ेस पर ऑटोमैटिक हमले अभी हो रहे हैं, और बिना लॉग-इन के इंटरनेट से पहुँचने लायक IoT2050 आसान निशाना होगा।

क्या करें

  1. Siemens की सलाह के अनुसार IoT2050 को V4.3.4-1 या उसके बाद के वर्शन पर अपडेट करें।
  2. अगर अभी अपडेट न कर सकें, तो Siemens के दो उपाय अपनाएँ: Node-RED को सुरक्षित करें, जैसे adminAuth लॉग-इन चालू करके, या इस्तेमाल न करते हों तो Node-RED हटा दें।
  3. देखें कि Node-RED इंटरफ़ेस आज आपके नेटवर्क के बाहर से पहुँच में है या नहीं। Siemens की सामान्य सुरक्षा सलाह के अनुसार इंडस्ट्रियल डिवाइस फ़ायरवॉल या VPN के पीछे होने चाहिए।
  4. पहले से लगे फ़्लो जाँचें। अनजान exec नोड, नए HTTP पते, या /dev/shm/.b और /tmp/.kworker जैसी फ़ाइलें सेंध के संकेत हैं। पैच लगाने से हमलावर का जोड़ा हुआ फ़्लो नहीं हटता।

अभी क्या पता नहीं

यह पता नहीं कि कितने IoT2050 इंटरनेट पर खुले हैं, किसी असली डिवाइस में सेंध लगी या नहीं, और हमला करने वाला सर्वर कौन चला रहा है। अगर Siemens, CISA या VulnCheck और जानकारी देते हैं, तो हम यह विश्लेषण अपडेट करेंगे।

इस मौसम में इंटरनेट से जुड़े उपकरणों पर इस्तेमाल हुई दूसरी खामियों के लिए Ivanti Connect Secure पर हमले और 26 से 29 अक्टूबर की CISA सूची देखें, जिसमें Cisco फ़ायरवॉल की VPN खामी भी है।

स्रोत

इस लेख के लिए हमने ये मूल स्रोत जाँचे: