Sebuah kerentanan keamanan dengan tingkat keparahan maksimal yang berdampak pada perangkat Siemens SIMATIC IoT2050 Advanced kini dieksploitasi secara aktif, demikian diungkapkan oleh VulnCheck.
Celah keamanan tersebut, yang dilacak sebagai CVE-2026-58115 (skor CVSS: 10.0), merupakan masalah ketiadaan autentikasi pada fungsi kritis yang dapat dimanfaatkan oleh penyerang jarak jauh tanpa autentikasi untuk menjalankan kode berbahaya secara sewenang-wenang.
"Perangkat SIMATIC IoT2050 Advanced yang mengoperasikan Industrial OS dengan Node-RED terpasang memiliki kerentanan hilangnya autentikasi pada antarmuka HTTP Node-RED, yang memungkinkan peretas jarak jauh tanpa autentikasi membuat alur berbahaya serta mengeksekusi kode bebas pada server dasar dengan hak akses tertinggi," ungkap Siemens dalam peringatan resmi yang diterbitkan pada Agustus 2026.
Masalah ini telah diperbaiki pada versi 4.3.4.1 atau versi yang lebih baru. Sebagai langkah mitigasi, Siemens sangat menyarankan para pengguna untuk mencopot Node-RED atau memperkuat pengaturannya dengan menerapkan langkah-langkah perlindungan yang telah ditentukan.
Per 30 Oktober 2026, VulnCheck menyatakan telah mendeteksi pelaku ancaman yang berupaya mempersenjatai celah CVE-2026-58115 terhadap jaringan honeypot miliknya demi mengunduh serta mengeksekusi bot berbasis Linux.
"Permintaan peretas tersebut merupakan sebuah eksploitasi penuh," papar Patrick Garrity, peneliti keamanan dari VulnCheck. "Tindakan itu memasang alur Node-RED, memicunya langsung secara otomatis, lalu mengambil berkas biner dari server yang dikuasai penyerang, seluruhnya tersembunyi di balik tiga lapisan enkripsi khusus."
Secara rinci, alur berbahaya tersebut dirancang untuk mengoperasikan pembungkus skrip shell, yang memanfaatkan wget untuk mengambil biner botnet berarsitektur AMD64 dari alamat 85.215.73[.]250. Perintah Curl turut disiapkan sebagai jalur alternatif cadangan apabila upaya melalui wget mengalami kegagalan. Pada fase pamungkas, biner disimpan langsung ke direktori "/dev/shm/.b" dan segera dijalankan.
Sejak peristiwa tersebut, pelaku di balik kampanye peretasan ini beralih menerapkan metode dua tahap, yakni memanfaatkan perintah wget untuk mengunduh skrip shell lain bernama "wget.sh" dari server pengendali yang sama.
Permintaan lain terdeteksi menjalankan perintah wget/curl menuju sasaran "45.194.90[.]57:38472" guna mengambil muatan payload ".sys_update," menyimpannya pada penyimpanan sistem sebagai "/tmp/.kworker" untuk menyamarkannya seolah thread kernel worker yang aman, lalu langsung mengeksekusinya. Fungsi mendasar dari "wget.sh" maupun ".kworker" masih belum dapat dipastikan karena tidak berhasil didapatkan kembali.
"Sejumlah permintaan penyerangan sama sekali tidak menyertakan downloader. Sebagai gantinya, alur mengekspos endpoint HTTP in (seperti /cmd, atau jalur acak) yang dihubungkan lewat simpul fungsi menuju simpul exec beropsi addpay aktif, sehingga pelaku dapat mengeksekusi berbagai instruksi lanjutan lewat parameter kueri," jelas Garrity. "Pintu belakang ini tetap bertahan meski implan memori hilang akibat reboot."
