Siemens SIMATIC IoT2050 Advanced: Node-RED bez hesla umožňuje úplné převzetí za…

Co se stalo

Siemens 11. srpna 2026 zveřejnil bezpečnostní bulletin SSA-834709 o chybě CVE-2026-58115 v průmyslovém počítači SIMATIC IoT2050 Advanced. Týká se zařízení se systémem Industrial OS, na kterých je nainstalovaný Node-RED, oblíbený nástroj pro „naklikání“ automatizačních toků přímo v prohlížeči.

Podle Siemensu webové rozhraní Node-RED na těchto zařízeních nevyžaduje přihlášení. Kdokoli, kdo se k němu dostane přes síť, si tak může vytvořit vlastní tok a jeho prostřednictvím spustit na zařízení libovolný kód s nejvyššími právy. Siemens vydal opravenou verzi V4.3.4.1.

Server The Hacker News 3. listopadu 2026 informoval, že bezpečnostní firma VulnCheck od 30. října 2026 zachycuje ve svých návnadových systémech (honeypotech) pokusy chybu zneužít a nahrát do zařízení program pro linuxový botnet. Chyba zatím není v katalogu CISA KEV a evropská databáze zranitelností EUVD aktivní zneužívání neuvádí. Bulletin Siemensu byl naposledy aktualizován 11. srpna 2026 a o útocích nemluví.

Proč je to nebezpečné

Jde o chybu typu „chybějící ověření u kritické funkce“ (CWE-306). Představte si ovládací panel stroje, který stojí u otevřených dveří na ulici a nemá zámek ani heslo. Node-RED je přesně takový panel: dá se v něm sestavit tok, který spouští systémové příkazy. Pokud ho nic nechrání, může ho použít kdokoli.

Útok probíhá přes síť. Pokud je rozhraní Node-RED dostupné z internetu, útočník může přijít odkudkoli.
Útočník nepotřebuje žádné přihlášení ani součinnost uživatele.
Kód podle Siemensu běží s maximálními právy, což znamená úplnou kontrolu nad zařízením.
Útočník může číst a měnit data, která zařízení sbírá nebo odesílá, nahrát škodlivý program a zařízení zneužít jako odrazový můstek do dalších částí sítě včetně výroby.

Siemens chybě přidělil skóre CVSS 10,0 z 10, tedy nejvyšší možné, a to podle CVSS 3.1 i podle novější verze CVSS 4.0. CVSS je mezinárodní stupnice závažnosti, která hodnotí, jak snadno lze chybu zneužít a jaké škody může způsobit.

Katalog CISA KEV je seznam chyb, jejichž zneužívání potvrdila americká agentura CISA. Tato chyba v něm v době psaní není, to ale neznamená, že je neškodná, protože VulnCheck už pokusy o útok zaznamenal.

EPSS odhaduje pravděpodobnost, že bude chyba zneužívána v příštích 30 dnech. K 2. listopadu 2026 je to přibližně 0,95 %, což je víc než u zhruba 61 % známých chyb. Toto číslo ještě nemusí odrážet nejnovější zprávy o útocích.

Koho se to týká

Podle Siemensu jde o SIMATIC IoT2050 Advanced s objednacím číslem 6ES7647-0BA00-1YA2, všechny verze starší než V4.3.4.1, které běží na Industrial OS a mají nainstalovaný Node-RED.

IoT2050 je malý průmyslový počítač, který typicky slouží jako brána mezi stroji a IT. Sbírá data z PLC a senzorů ve výrobě, posílá je do cloudu či firemních systémů a používá se i v automatizaci budov a pilotních IoT projektech. Node-RED se na něm často používá právě k rychlému sestavení takových propojení. Největší riziko mají zařízení, jejichž rozhraní Node-RED (standardně port 1880) je dostupné z internetu nebo z velké, špatně oddělené firemní sítě.

Pokud na zařízení Node-RED nainstalovaný není, tato chyba se ho podle popisu Siemensu netýká. Bulletin uvádí jen model Advanced s uvedeným objednacím číslem, o jiných modelech řady IoT2050 v něm Siemens nemluví.

Jak zjistit, zda jste zasaženi

Nejprve si sepište, kde máte zařízení IoT2050. Často je instaloval integrátor nebo dodavatel technologie a nemusí být v běžné evidenci IT. Následující příkazy jen čtou údaje a nic nemění.

Verzi systému zjistíte po přihlášení do zařízení, například přes SSH. Porovnejte ji s V4.3.4.1. Pokud ji zde nenajdete, ověřte ji v dokumentaci nasazení nebo u dodavatele.

cat /etc/os-release

Zda je Node-RED nainstalovaný, spuštěný a naslouchá na síti:

systemctl status node-red --no-pager

ss -tlnp | grep 1880

Z jiného počítače ověříte, zda rozhraní vyžaduje přihlášení. Odpověď 401 znamená, že přihlášení je zapnuté, odpověď 200 znamená, že toky vidí kdokoli. Pokud používáte jiný port, upravte ho. Testujte jen vlastní zařízení.

curl -s -o /dev/null -w "%{http_code}\n" http://IP_ZARIZENI:1880/flows

Jak to opravit

Siemens doporučuje aktualizovat na verzi V4.3.4.1 nebo novější. Najdete ji na stránce podpory Siemens: https://support.industry.siemens.com/cs/ww/en/view/109741799/

Doporučené pořadí kroků:

Hned omezte přístup. Rozhraní Node-RED nesmí být dostupné z internetu, port 1880 povolte na firewallu jen ze správcovských počítačů nebo přes VPN. Siemens obecně doporučuje chránit síťový přístup k zařízením.
Než cokoli změníte, zkontrolujte známky napadení (viz další sekce) a zálohujte si toky a logy.
Nainstalujte V4.3.4.1 nebo novější podle návodu Siemens. Předem si zálohujte konfiguraci.
Při obnově toků ze zálohy zkontrolujte, že neobsahují cizí uzly, jinak byste si zadní vrátka nahráli zpět.
Pokud Node-RED nepotřebujete, odinstalujte ho. Pokud ho potřebujete, zabezpečte ho i po aktualizaci.

Pokud nemůžete aktualizovat hned, Siemens uvádí dvě dočasná opatření: odinstalovat Node-RED nebo jeho instalaci zabezpečit podle příručky Node-RED. The Hacker News z ní ve shrnutí uvádí tyto kroky:

zapnout přístup přes HTTPS
chránit editor a administrační rozhraní (admin API) přihlašovacími údaji nebo přes poskytovatele OAuth či OpenID
chránit uzly HTTP a Node-RED Dashboard základním ověřením (basic authentication)

Co když už jste mohli být napadeni

Pokud bylo rozhraní Node-RED dostupné z internetu, počítejte s tím, že ho někdo mohl zkoušet. Podle VulnCheck, jak informoval The Hacker News, útočníci nahrávají nový tok, který stáhne a spustí program pro linuxový botnet. Jiné pokusy vytvořily přímo v Node-RED trvalá zadní vrátka, která přežijí i restart.

neznámé toky v editoru Node-RED, zejména propojení uzlů „http in“, „function“ a „exec“ s cestou jako /cmd nebo s náhodným názvem
soubory /dev/shm/.b, /tmp/.kworker nebo skript wget.sh
spojení na adresy 85.215.73[.]250 nebo 45.194.90[.]57 (port 38472) v lozích firewallu či proxy
příkazy wget nebo curl v tocích a procesy spuštěné z /dev/shm nebo /tmp, které neznáte

Tyto příkazy jen čtou:

ls -la /dev/shm/ /tmp/

ps -eo pid,user,args | grep -E "[/]dev/shm|[/]tmp/"

find / -path "*node-red*" -name "flows*.json" 2>/dev/null

grep -nE '"exec"|wget|curl' /cesta/k/flows.json

Následující výpis ukáže, kdy Node-RED spouštěl toky, například po nasazení změn. Nasazení v době, kdy na tocích nikdo z vás nepracoval, je podezřelé.

journalctl -u node-red --no-pager | grep -iE "start(ing|ed) (modified )?flows"

Pokud něco najdete, zařízení odpojte od sítě, ale nevypínejte ho a nic nemažte. Přizvěte odborníka na bezpečnost průmyslových systémů, protože útočník měl nejvyšší práva a mohl se dostat dál do sítě. Poté zařízení přeinstalujte z čistého obrazu V4.3.4.1 nebo novějšího a změňte hesla a přístupové údaje uložené v tocích.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Siemens SIMATIC IoT2050 Advanced: Node-RED bez hesla umožňuje úplné převzetí zařízení