Siemens IoT2050’deki Kritik Açığı İstismar Eden Saldırganlar Uzaktan Komut Backdoor’ları Kuruyor.

Gorsel Kaynagi: The Hacker News

Siemens SIMATIC IoT2050 Advanced cihazlarını etkileyen, maksimum ciddiyette bir güvenlik açığı aktif biçimde sömürülüyor; bunu VulnCheck ortaya koydu.

CVE-2026-58115 olarak izlenen, CVSS puanı 10.0 olan açıklık, kimliksiz bir uzaktan saldırganın rastgele kod çalıştırabilmesi için sömürülebileceği kritik bir işlevdeki kimlik doğrulamasının eksikliği durumudur.

“Endüstriyel İşletim Sistemi çalıştıran ve üzerinde Node-RED kurulu olan SIMATIC IoT2050 Advanced cihazları, Node-RED HTTP arayüzünde kimlik doğrulamasının eksikliğine sahiptir; bu, kimliksiz bir uzaktan saldırganın kötü amaçlı akışlar oluşturmasını ve üst sunucuda maksimum ayrıcalıklarla rastgele kodu çalıştırmasını sağlayabilir,” Siemens, Ağustos 2026’da yayımladığı bir açıklamada belirtti.

Sorun, 4.3.4.1 veya sonraki sürümlerde giderildi. Önlemler olarak Siemens, kullanıcıların Node-RED’i kaldırmasını veya aşağıdaki adımları izleyerek kurulumu sağlamlaştırmasını öneriyor –

• HTTPS erişimini etkinleştirme
• Düzenleyiciyi ve yönetici API’sini kimliğe dayalı kimlik doğrulaması veya bir OAuth/OpenID sağlayıcısı aracılığıyla koruma
• HTTP Düğümlerini ve Node-RED Panosunu temel kimlik doğrulamasıyla koruma

30 Ekim 2026 itibarıyla VulnCheck, saldıranların CVE-2026-58115’i kendi tuzak ağında (honeypot) silahlandırmaya çalıştığını ve bir Linux botu indirme ve çalıştırma girişiminde bulunduğunu gözlemiş olduğunu belirtti.

Özellikle, kötü amaçlı akış; wget kullanarak AMD64 mimarisi için botnet ikili dosyasını 85.215.73[.]250 adresinden almaya yarayan bir kabuk (shell) betiği sarmalıcıyı çalıştıracak şekilde tasarlanmıştır. wget denemesi başarısız olursa yedek olarak curl kullanılır. Son aşamada ikili dosya “/dev/shm/.b” olarak kaydedilir ve çalıştırılır.

Gorsel Kaynagi: The Hacker News

Bu aradan beri kampanyanın ardındaki saldıranlar, wget komutunu aynı sunucudan başka bir kabuk betiği (“wget.sh”) almak için kullandığı iki aşamalı bir sürece geçti.

Yine başka bir isteğin, “.sys_update” adlı bir yük yüklemek için “45.194.90[.]57:38472” adresine wget/curl ile istek gönderdiği, diske “/tmp/.kworker” olarak kaydedildiği—zararsız bir kernel iş parçacığı gibi görünmesini sağlamak amacıyla—ardından çalıştırıldığı tespit edildi. “wget.sh” ya da “.kworker”ın tam işlevi bilinmiyor; geri alınamadıkları için.

“Birçok istek hiç indirici yerleştirmedi. Bunun yerine akış, örneğin /cmd ya da rastgele adlandırılmış bir yol olan bir HTTP giriş uç noktasını, saldırganın sorgu parametresi aracılığıyla ileride keyfi komutlar çalıştırabilmesi için addpay etkin bir exec düğümüne bağlayan bir fonksiyon düğümü üzerinden geçiriyor,” dedi Garrity. “Bu arka kapı, bellek tabanlı yerleşim yeniden başlatmada kaybedilse bile hayatta kalır.”