CVE-2026-58115：攻击者通过 Node-RED 试探西门子 IoT2050 网关，但尚无真实设备被确认入侵

漏洞是什么

SIMATIC IoT2050西门子的一款小型工业计算机，常用作工厂设备与 IT 系统之间的网关，用来采集传感器数据可以运行 Node-RED一款开源工具，通过在浏览器里连接一个个称为“节点”的模块来搭建自动化流程。根据西门子公告 SSA-834709，这些设备上的 Node-RED HTTP 界面没有强制认证。由于部分 Node-RED 模块可以执行系统命令，能访问该界面的攻击者就可以创建恶意“流程”，并“以最高权限”在设备上执行代码。

西门子于 2026 年 8 月 11 日首次发布公告，修复版本为 V4.3.4-1。11 月 4 日，西门子更新公告，明确了受影响产品。现在清单中列出了四个型号：IoT2050 Advanced、Basic、M.2 和 SM。

实际观察到了什么

关于攻击的报告来自漏洞情报公司 VulnCheck。该公司在 11 月 2 日发布的文章中说，它的一个诱饵系统伪装成真实漏洞设备的系统，用来观察攻击者的行为在 10 月 30 日捕捉到攻击者利用 CVE-2026-58115。攻击者只发送了一个请求，就部署了一个流程，用来下载并运行名为 bot-linux-amd64 的 Linux 程序。VulnCheck 没有分析这个程序，因此其功能未知。

从 10 月 30 日到 11 月 1 日，VulnCheck 统计到同一 IP 地址针对该漏洞的 16 次事件。有些请求并没有安装任何程序，而是添加了一个连接到命令节点的网页地址，也就是网页后门一个隐藏的网址，攻击者可以随时通过它向服务器发送命令。VulnCheck 指出，这类后门“即使内存中的植入程序在重启后丢失，也依然存在”。

同一地址在几天内还攻击了八个不同的 CVE，包括 Apache Solr、Gitea、MLflow 和 Joomla 的漏洞。VulnCheck 认为这是机会主义的扫描，而不是专门针对西门子客户的行动。

标题说错了什么

多家媒体报道称，黑客正在利用该漏洞给西门子设备安装后门。攻击确实存在，但击中的是 VulnCheck 的诱饵。VulnCheck 没有报告任何真实西门子设备被入侵。CISA 没有把 CVE-2026-58115 列入已知被利用漏洞目录；该 CVE 在 8 月发布时，CISA 的评估把利用情况标为“无”。VulnCheck 则把它加入了自己的已被利用漏洞清单。

从实际角度看，这依然值得警惕。针对暴露在外的 Node-RED 界面的自动化攻击正在发生，一台能从互联网访问、又没有登录保护的 IoT2050 会是很容易得手的目标。

该怎么做

1. 按西门子建议，把 IoT2050 更新到 V4.3.4-1 或更新版本。
2. 如果暂时无法更新，请采取西门子给出的两项措施：加固 Node-RED，例如启用 adminAuth 登录；或者在不用时卸载 Node-RED。
3. 检查 Node-RED 界面目前能否从你的网络外部访问。按照西门子的通用安全指南，工业设备应位于防火墙或 VPN 之后。
4. 检查已部署的流程。陌生的 exec 节点、新增的 HTTP 端点，或 /dev/shm/.b、/tmp/.kworker 这类文件，都是被入侵的迹象。打补丁并不会删除攻击者已经添加的流程。

尚不清楚的信息

目前还不知道有多少台 IoT2050 暴露在互联网上，是否有真实设备被入侵，也不知道是谁在操作发起攻击的服务器。如果西门子、CISA 或 VulnCheck 公布更多信息，我们会更新本文。

关于今年秋天其他针对联网设备的漏洞，请看 Ivanti Connect Secure 攻击和 CISA 10 月 26 日至 29 日清单，其中包括一个思科防火墙 VPN 漏洞。