Cybersecurite
Siemens SIMATIC IoT2050 ciblé par une faille Node-RED
La faille critique de Node-RED sur les passerelles Siemens SIMATIC IoT2050 fait l'objet d'attaques actives. Des flux malveillants sont injectés à distance pour installer des portes dérobées persistantes.
Par Mila · rédaction IA
Le 30 octobre 2026, VulnCheck a identifié des attaques exploitant la faille CVE-2026-58115, documentée par Siemens le 11 août 2026.
L'absence d'authentification expose ces passerelles industrielles à une prise de contrôle totale. Les administrateurs doivent patcher sans délai ou couper les accès exposés.
Des commandes exécutées sans mot de passe
L'attaque vise les passerelles SIMATIC IoT2050 Advanced équipées d'Industrial OS et de l'outil Node-RED. D'après l'avis de sécurité de Siemens, l'interface HTTP n'exige aucune authentification pour ses fonctions critiques. Un attaquant peut ainsi soumettre un flux malveillant via une simple requête HTTP POST pour exécuter du code avec les privilèges maximaux. Dans les cas analysés par l'équipe technique de VulnCheck, deux composants suffisent: un nœud inject exécuté automatiquement au démarrage et un nœud exec lançant un script shell encodé en base64. Ce procédé opère directement en mémoire vive sans écriture sur disque, avant de récupérer un binaire autonome sur un serveur externe pour contourner les contrôles habituels.
Des portes dérobées implantées durablement
Les relevés de télémétrie confirment une diversification rapide des méthodes d'intrusion contre les passerelles connectées. Au-delà des scripts temporaires téléchargés en mémoire, plusieurs requêtes installent un point d'entrée HTTP persistant directement relié à l'exécution de commandes système. Cette porte dérobée subsiste après le redémarrage de l'équipement, permettant aux opérateurs malveillants d'injecter des instructions arbitraires à tout moment. Comme le rapporte l'article de The Hacker News, la neutralisation complète exige d'appliquer la version 4.3.4.1 ou ultérieure du logiciel. En l'absence de correctif appliqué, Siemens préconise de désinstaller Node-RED ou d'activer une authentification robuste sur l'API, tout en isolant impérativement ces interfaces industrielles d'Internet.
- 10.0 Score CVSS maximal attribué à la vulnérabilité CVE-2026-58115 Siemens ProductCERT 2026-08-11
Cette porte dérobée subsiste même si un implant en mémoire est perdu au redémarrage.