In een update van 1 november beschreef VulnCheck latere Node-RED-flows met HTTP-in- en exec-nodes die een herstart konden overleven. De eerste beschreven exploitatie in een canary dateerde van 30 oktober 2026. De waarschuwing van Siemens noemt een specifieke SIMATIC IoT2050 Advanced-configuratie.
Wat VulnCheck in de canary waarnam
Bij de eerste beschreven gebeurtenis stuurde een aanvaller volgens VulnCheck een flow naar de Node-RED-interface. Een inject-node activeerde daarin een exec-node, die een shell-opdracht uitvoerde zodra de flow was uitgerold. De canary antwoordde met HTTP 200 en een nieuwe hash voor de flowrevisie; VulnCheck registreerde de deployment als geslaagd.
VulnCheck telde tussen 30 oktober en 1 november 16 gebeurtenissen tegen CVE-2026-58115 vanaf één IP-adres. In het bredere canarynetwerk registreerde de organisatie vanaf dat adres 125 hits tegen acht verschillende CVE’s. De beschreven verzoeken bevatten verschillende payloads. Bij een eerdere poging probeerde een dropper een bestand met de naam bot-linux-amd64 naar /dev/shm te downloaden en op de achtergrond te starten. De bestandsnaam wijst op Linux AMD64, maar VulnCheck haalde het binaire bestand niet op.
De latere HTTP-in-flows waren gekoppeld aan exec-nodes en vormden webshell-achtige ingangen. VulnCheck meldde dat zulke flows een herstart konden overleven. De mogelijkheden van het bestand bot-linux-amd64 zijn niet bekend.
Welke Siemens-configuratie het advies noemt
Het advies van CISA, waarin de melding van Siemens ProductCERT is opgenomen, noemt SIMATIC IoT2050 Advanced, model 6ES7647-0BA00-1YA2, met Industrial OS en Node-RED geïnstalleerd, bij versies lager dan V4.3.4.1. De kwetsbaarheid, CVE-2026-58115, betreft ontbrekende authenticatie op de HTTP-interface van Node-RED. CISA geeft de ernst aan als CVSS v3.1: 10.0, Kritiek.
Het advies noemt drie maatregelen voor deze configuratie: Node-RED beveiligen, Node-RED verwijderen of het apparaat bijwerken naar V4.3.4.1 of hoger. CISA adviseert daarnaast om blootstelling aan internet te beperken en besturingsapparaten niet rechtstreeks vanaf internet bereikbaar te maken.
