Lỗ hổng nghiêm trọng Siemens IoT2050 bị khai thác để cài backdoor điều khiển từ xa

Lỗ hổng điểm tối đa trong Node-RED trên thiết bị công nghiệp

VulnCheck ghi nhận lỗ hổng CVE-2026-58115 với điểm CVSS 10.0 đang bị khai thác thực tế nhắm vào thiết bị Siemens SIMATIC IoT2050 Advanced. Đây là lỗi thiếu xác thực ở một chức năng quan trọng trong giao diện HTTP của Node-RED, cho phép kẻ tấn công từ xa chưa xác thực tạo các luồng độc hại và thực thi mã tùy ý với quyền cao nhất trên máy chủ.

Theo khuyến cáo của Siemens từ tháng 8/2026, lỗi đã được vá trong phiên bản 4.3.4.1 trở lên. Với các hệ thống chưa nâng cấp, hãng đề xuất gỡ cài đặt Node-RED hoặc gia cố bằng cách bật truy cập HTTPS, bảo vệ editor và admin API bằng xác thực thông tin đăng nhập hoặc qua OAuth/OpenID, đồng thời dùng basic authentication cho HTTP Nodes và Node-RED Dashboard.

Diễn biến khai thác

Từ ngày 30/10/2026, VulnCheck quan sát thấy kẻ tấn công nhắm vào honeypot của mình để tải và chạy một bot Linux. Nhà nghiên cứu Patrick Garrity mô tả yêu cầu của kẻ tấn công là một đòn khai thác hoàn chỉnh: triển khai luồng Node-RED, kích hoạt tự động và kéo một tệp nhị phân từ máy chủ do kẻ tấn công kiểm soát, tất cả nằm sau ba lớp mã hóa.

Cụ thể, luồng độc hại chạy một shell script dùng wget để tải botnet kiến trúc AMD64 từ 85.215.73[.]250, với curl làm phương án dự phòng. Tệp nhị phân được lưu thành /dev/shm/.b rồi thực thi. Sau đó, nhóm tấn công chuyển sang quy trình hai bước, dùng wget tải thêm một shell script tên wget.sh từ cùng máy chủ.

Một yêu cầu khác được phát hiện dùng wget/curl tới 45.194.90[.]57:38472 để lấy payload .sys_update, lưu thành /tmp/.kworker nhằm ngụy trang như luồng xử lý nhân (kernel worker) vô hại rồi thực thi. Chức năng chính xác của wget.sh và .kworker vẫn chưa rõ vì không thu thập được các tệp này.

Backdoor tồn tại qua khởi động lại

Đáng chú ý, nhiều yêu cầu không hề tải trình tải xuống nào. Thay vào đó, luồng Node-RED mở một endpoint HTTP vào (ví dụ /cmd hoặc đường dẫn đặt tên ngẫu nhiên), nối qua function node tới exec node có bật addpay, để kẻ tấn công chạy lệnh tùy ý sau này bằng cách truyền chúng qua tham số truy vấn.

Theo Garrity, backdoor này vẫn tồn tại ngay cả khi implant lưu trong bộ nhớ bị mất khi khởi động lại. Điều này cho thấy mức độ nguy hiểm kéo dài của lỗ hổng đối với các thiết bị công nghiệp kết nối Internet.

Nguồn: The Hacker News