CVE-2026-58115: l'interfaccia Node-RED del SIMATIC IoT2050 Advanced accetta comandi senza chiedere una password. Gli attacchi sono gia' in corso.
Un pannello di controllo aperto a chiunque passi
Immagina un quadro elettrico di fabbrica con lo sportello spalancato e nessun lucchetto. Chiunque passa puo' girare le manopole. E' piu' o meno quello che e' successo con una falla nei gateway industriali Siemens SIMATIC IoT2050 Advanced: l'interfaccia di Node-RED non chiede una password, e chi la raggiunge puo' far eseguire comandi al dispositivo con i massimi privilegi.
Node-RED e' uno strumento molto diffuso in ambito industriale: serve a collegare sensori, PLC e servizi con una programmazione a blocchi, trascinando e unendo nodi sullo schermo. Comodo. Il problema e' che su questi dispositivi l'interfaccia web di amministrazione e' esposta senza autenticazione. La vulnerabilita', CVE-2026-58115, ha un punteggio di gravita' di 10 su 10: il massimo. Nessuna credenziale, nessun clic dell'utente, nessun trucco. Basta arrivare alla pagina.
E qualcuno ci e' gia' arrivato. Secondo VulnCheck, un loro sistema esca ha intercettato lo sfruttamento attivo della falla il 30 ottobre 2026. Sembra scansione opportunistica di massa, non un attacco mirato: lo stesso attaccante batteva otto CVE diverse, inclusa una falla di Apache Solr vecchia di sette anni. Una volta dentro, i nodi integrati vengono usati per eseguire comandi shell: in una catena viene scaricato un bot Linux in memoria, in altre viene piazzata una webshell, e in alcuni casi una backdoor che sopravvive al riavvio del dispositivo.
Siemens ha corretto il problema nelle versioni a partire dalla V4.3.4.1 e, dove non si puo' aggiornare subito, suggerisce di disinstallare Node-RED o di proteggerne l'accesso. L'advisory ufficiale e' il SSA-834709, ripreso anche dalla CISA nell'ICSA-26-237-03. Tradotto: se hai questi gateway in produzione, non e' una cosa da mettere in lista per il mese prossimo.
Fonte: The Hacker News
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
La parte che mi fa storcere il naso non e' tanto la falla in se', quanto il fatto che un'interfaccia di amministrazione fosse raggiungibile senza nemmeno una password. Non e' un bug sofisticato di memoria o un exploit da ricercatore: e' una porta lasciata aperta. E nell'OT, cioe' la tecnologia che muove macchinari e impianti, di porte cosi' ne trovo piu' di quante vorrei.
Quando faccio un assessment in azienda, la sorpresa ricorrente non e' quasi mai sul firewall perimetrale. E' su quello che gira dentro: gateway, pannelli HMI, piccoli server di automazione messi su anni fa da un integratore, con interfacce web che nessuno ha piu' toccato. Spesso chi li gestisce sul lato produzione non sa nemmeno che espongono una console di amministrazione, e chi fa IT non sa che quei dispositivi esistono. In mezzo ci sta questo vuoto, ed e' li' che entrano i bot.
Diciamolo onesto: aggiornare l'OT non e' banale come patchare un portatile. Ci sono cicli produttivi da non fermare, fornitori da coinvolgere, a volte garanzie che saltano se tocchi il firmware. Lo capisco, non e' pigrizia, e' complessita' vera. Ma proprio per questo la segmentazione conta cosi' tanto: se quell'interfaccia non e' raggiungibile da Internet, una falla 10 su 10 diventa molto meno drammatica.
Se hai questi gateway Siemens, la cosa piu' sensata da fare adesso e' una sola: verifica subito se l'interfaccia Node-RED e' esposta verso l'esterno e, nel dubbio, chiudila a livello di rete prima ancora di pianificare l'aggiornamento alla V4.3.4.1. Isolare costa poco e si fa oggi; aggiornare lo organizzi con calma dopo.