Без пароля на Node-RED у SIMATIC IoT2050 — обновите до V4.3.4-1

Коротко. На шлюзах Siemens SIMATIC IoT2050 с Industrial OS и Node-RED HTTP-интерфейс Node-RED можно открыть без пароля и выполнить свои программы на устройстве. Siemens оценил риск на максимум. Исправление — сборка V4.3.4-1 и новее (рекомендована с 11.08.2026). По данным VulnCheck (через СМИ, с конца октября 2026) попытки уже ловят на ловушках; у Siemens в бюллетене слова «уже атакуют» нет, в каталоге CISA KEV записи тоже нет.

Касается ли это вас.

• Да, если на объекте стоит SIMATIC IoT2050 (артикулы вроде 6ES7647-…), Industrial OS и установлен Node-RED, а версия ПО шлюза ниже V4.3.4-1.
• Нет, если нет этой линейки Siemens или Node-RED на ней не ставили.
• Не уверены — спросите того, кто ставил автоматику / интегратора; перешлите готовый текст ниже.

Чем грозит. Кто достучится по сети до HTTP-интерфейса Node-RED, может получить полный контроль над шлюзом: свои программы, доступ к соседней сети цеха. Из интернета «само» не прилетает, если интерфейс наружу не открыт — но открытый порт или широкая LAN достаточны.

Что сделать в первую очередь (сегодня).

1. Найдите устройства IoT2050: версия ПО / образа шлюза (не версия пакета Node-RED) и есть ли Node-RED.
2. Версия ниже V4.3.4-1 и Node-RED есть — откройте advisory SSA-834709: https://cert-portal.siemens.com/productcert/html/ssa-834709.html — оттуда перейдите к пакету SIOS (статья 109741799; часто нужна учётка Siemens или партнёр) и обновите до V4.3.4-1 или новее. Без доступа к SIOS — сразу перешлите готовый текст интегратору.
3. Node-RED не используете — удалите его. Не держите интерфейс Node-RED в интернете и в гостевой сети. Если раньше торчал в интернет — после патча всё равно проверьте устройство у специалиста.

Получилось, если после обновления версия шлюза не ниже V4.3.4-1 (или Node-RED снят) и панель снаружи не открыта. Не вышло — не берите «прошивки» с форумов; перешлите текст специалисту по АСУ.

Что сделать во вторую очередь (на этой неделе).

1. Ограничьте, кто из сети видит порт Node-RED (отдельная сеть управления, только рабочие места инженеров).
2. Если Node-RED нужен, а обновление задерживается — включите защиту по руководству Node-RED и рекомендациям Siemens (аутентификация редактора и API).
3. Сверьте список потоков Node-RED с тем, что должны быть на объекте.

Если сразу не получается.

• Нет доступа к SIOS / кабинету Siemens — зовите интегратора или того, кто ставил парк.
• Устройство вне поддержки — план замены; до замены снимите Node-RED или полностью закройте к нему сеть.

Готовый текст для того, кто ведёт АСУ / интегратора.

Здравствуйте! По SIMATIC IoT2050: Siemens SSA-834709, CVE-2026-58115 (CVSS 10) — нет аутентификации на HTTP Node-RED при Industrial OS + Node-RED, версии ниже V4.3.4-1. Исправление: V4.3.4-1+. Mitigation: удалить Node-RED или ужесточить установку; не публиковать интерфейс в интернет. По данным VulnCheck (СМИ) с ~30.10.2026 видят попытки эксплуатации; KEV и формулировки «exploited» у Siemens нет. Прошу: инвентарь моделей Advanced/Basic/M.2/SM + версия + наличие Node-RED → обновление или снятие Node-RED → проверка сети. Подробности: https://nevzlom.ru/ru/tech/2026-11-05-siemens-iot2050/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-05-siemens-iot2050/

Источник. Siemens ProductCERT, SSA-834709 (V1.1 от 04.11.2026; патч ≥V4.3.4-1 с V1.0 от 11.08.2026): https://cert-portal.siemens.com/productcert/html/ssa-834709.html · пакет SIOS — статья 109741799 (ссылка из advisory; прямую URL SIOS не ставим: кабинет/403).