CVE-2026-58115: Kritisk fejl i Siemens SIMATIC IoT2050
Siemens IoT2050 Advanced mangler login på Node-RED-grænsefladen, så angribere uden adgang kan køre vilkårlig kode. Opdatér til V4.3.4.1.
Hvad er det?
CVE-2026-58115 er en sårbarhed i Siemens SIMATIC IoT2050 Advanced, en industriel IoT-gateway der bruges til at koble sensorer og maskiner til netværk og skyløsninger. Enheden kan køre Node-RED, et værktøj hvor man visuelt bygger automatiseringer ved at koble programmeringsblokke, såkaldte noder, sammen. Fejlen betyder, at Node-REDs webgrænseflade slet ikke kræver login. Enhver med netværksadgang til enheden kan derfor oprette en ny automatisering, kaldet en flow, der indeholder en node til at afvikle systemkommandoer. Dermed kan man køre vilkårlig kode på enheden med de højeste rettigheder, uden brugernavn, adgangskode eller nogen form for brugerinteraktion.
Hvem rammer det?
Sårbarheden rammer Siemens SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) i alle versioner før V4.3.4.1, hvor enheden kører Industrial OS med Node-RED installeret. Det gælder danske produktionsvirksomheder, forsyningsselskaber og andre med industrielle styresystemer, der bruger enheden som gateway mellem OT-udstyr og IT-netværk eller sky.
Hvad kan ske?
En angriber kan overtage enheden fuldstændigt og bruge den som indgang til det industrielle netværk bag den. Det kan betyde manipulation af produktionsdata, stop af maskiner eller processer, og adgang videre ind i virksomhedens øvrige netværk. Da enheden ofte sidder tæt på fysisk produktionsudstyr, kan konsekvensen være driftsstop, ikke kun datatab.
Hvor alvorligt er det?
CVSS-score er 10,0 ud af 10, den højeste mulige. Angrebet kræver hverken login, adgangskode eller at nogen på virksomheden klikker på noget. Det kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud. Der er ikke oplyst tegn på aktiv udnyttelse i det offentliggjorte materiale, men den lave angrebstærskel gør, at det kan ændre sig hurtigt.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser skaden, mens I opdaterer.
- Opdatér SIMATIC IoT2050 Advanced til V4.3.4.1 eller nyere. Det er den eneste rettelse, der fjerner sårbarheden.
- Kan opdateringen ikke ske i dag, så afskær netværksadgang til Node-RED-portens HTTP-grænseflade, for eksempel med en firewall-regel, indtil opdateringen er gennemført.
- Gennemgå Node-RED-flows på enheden for ukendte eller uventede automatiseringer, der ikke er oprettet af jeres eget personale.
- Sørg for, at IoT2050-enheder ikke er direkte tilgængelige fra internettet, og at OT-netværket er adskilt fra det almindelige kontornetværk.
- Aktivér autentificering på Node-RED-grænsefladen, hvis funktionen understøttes i den opdaterede version, som en ekstra sikring.
- Er I i tvivl om, hvordan opdateringen påvirker jeres produktion, eller om enheden allerede er kompromitteret, bør I inddrage en ekstern OT-sikkerhedsspecialist, før I ændrer noget på driftskritisk udstyr.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer alle SIMATIC IoT2050 Advanced-enheder til V4.3.4.1 så hurtigt som muligt, da sårbarheden kan udnyttes af hvem som helst med netværksadgang uden login. Kan opdateringen ikke gennemføres akut på grund af produktionshensyn, bør I som minimum spærre netværksadgang til enhedens Node-RED-grænseflade i dag. Det er kun forsvarligt at vente, hvis enheden allerede er fuldt isoleret fra både internet og øvrigt netværk, og selv da bør opdateringen planlægges hurtigst muligt.
Tidslinje
Konkrete eksempler
Produktionsvirksomhed med eksponeret gateway
En dansk produktionsvirksomhed bruger en SIMATIC IoT2050 Advanced til at sende sensordata fra produktionslinjen til et overvågningssystem. Enheden er tilgængelig fra kontornetværket for at lette fjernadgang for teknikere. En angriber, der har fået fodfæste i kontornetværket via en anden sårbarhed, finder Node-RED-grænsefladen uden login, opretter en flow, der giver kommandoadgang, og bruger enheden som springbræt til at forstyrre produktionsudstyr.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Tjek om I har SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) i drift, og om den kører Industrial OS med Node-RED installeret. Kontrollér den installerede firmwareversion. Er den lavere end V4.3.4.1, er enheden sårbar.
Kan vi vente med at opdatere til efter en planlagt vedligeholdelsesrunde?
Kun hvis enheden ikke er tilgængelig fra netværk, som eksterne eller andre dele af jeres IT-miljø kan nå. Er Node-RED-grænsefladen tilgængelig fra kontornetværket eller internettet, bør I spærre adgangen med det samme og opdatere hurtigst muligt derefter.
Er sårbarheden udnyttet i praksis?
Der er ikke oplysninger om aktiv udnyttelse i det offentliggjorte materiale fra Siemens. Den lave angrebstærskel, ingen krav om login, betyder dog, at situationen kan ændre sig hurtigt, når sårbarheden bliver mere kendt.
Kan vi bare lukke porten i firewallen i stedet for at opdatere?
Det er en fornuftig midlertidig løsning, men ikke en permanent erstatning for opdateringen. Enheden bør stadig opdateres til V4.3.4.1, da andre veje ind kan opstå, og fejlen fjernes først med rettelsen.
Skal vi anmelde hændelsen til myndighederne?
Hvis enheden indgår i kritisk infrastruktur eller væsentlige forsyningsfunktioner, kan I være omfattet af NIS2-lovgivningens anmeldelsespligt ved sikkerhedshændelser. Er der tale om forebyggende opdatering uden konstateret misbrug, er der ikke i sig selv pligt til anmeldelse, men det bør vurderes konkret ud fra jeres sektor.
Påvirker opdateringen produktionen?
En firmwareopdatering på en industriel gateway kan kræve en genstart af enheden og bør derfor planlægges i et vindue, hvor det ikke forstyrrer driften unødigt. Kontakt Siemens eller jeres OT-leverandør for konkret vejledning til jeres opsætning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been identified in SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) (All versions < V4.3.4.1 running Industrial OS with Node-RED installed). Affected devices do not enforce authentication on the Node-RED HTTP interface, allowing unauthenticated access to programming nodes that are capable of executing system commands on the server.
This could allow an unauthenticated remote attacker to create malicious flows through the HTTP interface in order to execute arbitrary code on the underlying server with maximum privileges.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.