Siemens SIMATIC IoT2050 Advanced: Node-RED bez hesla umožňuje úplné prevzatie z…

Čo sa stalo

Siemens 11. augusta 2026 zverejnil bezpečnostný bulletin SSA-834709 o chybe CVE-2026-58115 v priemyselnom počítači SIMATIC IoT2050 Advanced. Týka sa zariadení so systémom Industrial OS, na ktorých je nainštalovaný Node-RED, obľúbený nástroj na „klikanie“ automatizačných tokov priamo v prehliadači.

Podľa Siemensu webové rozhranie Node-RED na týchto zariadeniach nevyžaduje prihlásenie. Ktokoľvek, kto sa k nemu dostane cez sieť, si tak môže vytvoriť vlastný tok a cez neho spustiť na zariadení ľubovoľný kód s najvyššími právami. Siemens vydal opravenú verziu V4.3.4.1.

Portál The Hacker News 3. novembra 2026 informoval, že bezpečnostná firma VulnCheck od 30. októbra 2026 zachytáva vo svojich návnadových systémoch (honeypotoch) pokusy chybu zneužiť a nahrať do zariadení program pre linuxový botnet. Chyba zatiaľ nie je v katalógu CISA KEV a európska databáza zraniteľností EUVD aktívne zneužívanie neuvádza. Bulletin Siemensu bol naposledy aktualizovaný 11. augusta 2026 a o útokoch nehovorí.

Prečo je to nebezpečné

Ide o chybu typu „chýbajúce overenie pri kritickej funkcii“ (CWE-306). Predstavte si ovládací pult stroja, ktorý stojí pri otvorených dverách na ulicu a nemá zámok ani heslo. Node-RED je presne taký pult: dá sa v ňom poskladať tok, ktorý spúšťa systémové príkazy. Ak ho nič nechráni, môže ho použiť ktokoľvek.

Útok ide cez sieť. Ak je rozhranie Node-RED dostupné z internetu, útočník môže prísť odkiaľkoľvek.
Útočník nepotrebuje žiadne prihlásenie ani pomoc používateľa.
Kód beží podľa Siemensu s maximálnymi právami, čo znamená úplnú kontrolu nad zariadením.
Útočník môže čítať a meniť dáta, ktoré zariadenie zbiera alebo posiela, nahrať škodlivý program a zariadenie zneužiť ako odrazový mostík do ďalších častí siete vrátane výroby.

Siemens chybe pridelil skóre CVSS 10,0 z 10, teda najvyššie možné, a to podľa CVSS 3.1 aj podľa novšej verzie CVSS 4.0. CVSS je medzinárodná stupnica závažnosti, ktorá hodnotí, ako ľahko sa chyba dá zneužiť a aké škody môže spôsobiť.

Katalóg CISA KEV je zoznam chýb, ktorých zneužívanie potvrdila americká agentúra CISA. Táto chyba v ňom v čase písania nie je, to však neznamená, že je neškodná, keďže VulnCheck už pokusy o útok zaznamenal.

EPSS odhaduje pravdepodobnosť, že sa chyba bude zneužívať v najbližších 30 dňoch. K 2. novembru 2026 je to približne 0,95 %, čo je viac ako pri zhruba 61 % známych chýb. Toto číslo ešte nemusí zohľadňovať najnovšie správy o útokoch.

Koho sa to týka

Podľa Siemensu ide o SIMATIC IoT2050 Advanced s objednávacím číslom 6ES7647-0BA00-1YA2, všetky verzie staršie ako V4.3.4.1, ktoré bežia na Industrial OS a majú nainštalovaný Node-RED.

IoT2050 je malý priemyselný počítač, ktorý typicky slúži ako brána medzi strojmi a IT. Zbiera údaje z PLC a senzorov vo výrobe, posiela ich do cloudu či firemných systémov, používa sa aj v automatizácii budov a pilotných IoT projektoch. Node-RED sa na ňom často používa práve na rýchle poskladanie takých prepojení. Najväčšie riziko majú zariadenia, ktorých rozhranie Node-RED (štandardne port 1880) je dostupné z internetu alebo z veľkej, slabo oddelenej firemnej siete.

Ak na zariadení Node-RED nainštalovaný nie je, táto chyba sa ho podľa popisu Siemensu netýka. Bulletin uvádza len model Advanced s uvedeným objednávacím číslom, o iných modeloch radu IoT2050 v ňom Siemens nehovorí.

Ako zistiť, či ste zasiahnutí

Najprv si spíšte, kde máte zariadenia IoT2050. Často ich inštaloval integrátor alebo dodávateľ technológie a nemusia byť v bežnej evidencii IT. Nasledujúce príkazy len čítajú údaje a nič nemenia.

Verziu systému zistíte po prihlásení do zariadenia, napríklad cez SSH. Porovnajte ju s V4.3.4.1. Ak ju tu nenájdete, overte ju v dokumentácii nasadenia alebo u dodávateľa.

cat /etc/os-release

Či je Node-RED nainštalovaný, spustený a počúva na sieti:

systemctl status node-red --no-pager

ss -tlnp | grep 1880

Z iného počítača si overíte, či rozhranie vyžaduje prihlásenie. Odpoveď 401 znamená, že prihlásenie je zapnuté, odpoveď 200 znamená, že toky vidí ktokoľvek. Ak používate iný port, upravte ho. Testujte len vlastné zariadenia.

curl -s -o /dev/null -w "%{http_code}\n" http://IP_ZARIADENIA:1880/flows

Ako to opraviť

Siemens odporúča aktualizovať na verziu V4.3.4.1 alebo novšiu. Nájdete ju na stránke podpory Siemens: https://support.industry.siemens.com/cs/ww/en/view/109741799/

Odporúčané poradie krokov:

Hneď obmedzte prístup. Rozhranie Node-RED nesmie byť dostupné z internetu, port 1880 povoľte na firewalle len zo správcovských počítačov alebo cez VPN. Siemens všeobecne odporúča chrániť sieťový prístup k zariadeniam.
Skôr než čokoľvek zmeníte, skontrolujte známky napadnutia (pozri ďalšiu sekciu) a zálohujte si toky a logy.
Nainštalujte V4.3.4.1 alebo novšiu podľa návodu Siemens. Vopred si zálohujte konfiguráciu.
Pri obnove tokov zo zálohy skontrolujte, že neobsahujú cudzie uzly, inak by ste si zadné dvierka nahrali späť.
Ak Node-RED nepotrebujete, odinštalujte ho. Ak ho potrebujete, zabezpečte ho aj po aktualizácii.

Ak nemôžete aktualizovať hneď, Siemens uvádza dve dočasné opatrenia: odinštalovať Node-RED alebo jeho inštaláciu zabezpečiť podľa príručky Node-RED. The Hacker News z nej v zhrnutí uvádza tieto kroky:

zapnúť prístup cez HTTPS
chrániť editor a administračné rozhranie (admin API) prihlasovacími údajmi alebo cez poskytovateľa OAuth či OpenID
chrániť uzly HTTP a Node-RED Dashboard základným overením (basic authentication)

Čo ak už ste mohli byť napadnutí

Ak bolo rozhranie Node-RED dostupné z internetu, počítajte s tým, že ho niekto mohol skúšať. Podľa VulnCheck, ako informoval The Hacker News, útočníci nahrávajú nový tok, ktorý stiahne a spustí program pre linuxový botnet. Iné pokusy vytvorili priamo v Node-RED trvalé zadné dvierka, ktoré prežijú aj reštart.

neznáme toky v editore Node-RED, najmä spojenie uzlov „http in“, „function“ a „exec“ s cestou ako /cmd alebo s náhodným názvom
súbory /dev/shm/.b, /tmp/.kworker alebo skript wget.sh
spojenia na adresy 85.215.73[.]250 alebo 45.194.90[.]57 (port 38472) v logoch firewallu či proxy
príkazy wget alebo curl v tokoch a procesy spustené z /dev/shm alebo /tmp, ktoré nepoznáte

Tieto príkazy len čítajú:

ls -la /dev/shm/ /tmp/

ps -eo pid,user,args | grep -E "[/]dev/shm|[/]tmp/"

find / -path "*node-red*" -name "flows*.json" 2>/dev/null

grep -nE '"exec"|wget|curl' /cesta/k/flows.json

Nasledujúci výpis ukáže, kedy Node-RED spúšťal toky, napríklad po nasadení zmien. Nasadenie v čase, keď na tokoch nikto z vás nepracoval, je podozrivé.

journalctl -u node-red --no-pager | grep -iE "start(ing|ed) (modified )?flows"

Ak niečo nájdete, zariadenie odpojte od siete, ale nevypínajte ho a nič nemažte. Prizvite odborníka na bezpečnosť priemyselných systémov, lebo útočník mal najvyššie práva a mohol sa dostať ďalej do siete. Potom zariadenie preinštalujte z čistého obrazu V4.3.4.1 alebo novšieho a zmeňte heslá a prístupové údaje uložené v tokoch.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Siemens SIMATIC IoT2050 Advanced: Node-RED bez hesla umožňuje úplné prevzatie zariadenia