Siemens IoT2050 Açığı Aktif Saldırılara Hedef Oldu: Uzaktan Arka Kapı Tehlikesi

Siemens'in endüstriyel IoT platformu SIMATIC IoT2050 Advanced cihazlarını etkileyen ve azami önem derecesine sahip bir güvenlik açığı, gerçek dünya saldırılarında aktif olarak kullanılmaya başlandı. CVE-2026-58115 olarak takip edilen ve CVSS puanı 10,0 olan bu zafiyeti, siber güvenlik firması VulnCheck kendi bal küpü ağına yönelik saldırıları gözlemleyerek kamuoyuna duyurdu. Açık, kimlik doğrulaması gerektiren kritik bir işlevde doğrulama mekanizmasının eksik bırakılmasından kaynaklanıyor; bu durum kimliği doğrulanmamış uzak saldırganların etkilenen sistemlerde istedikleri kodu çalıştırmasına imkân tanıyor.

Açık Nerede ve Nasıl İşliyor?​

Siemens, Ağustos 2026'da yayımladığı güvenlik danışma belgesinde açığı şu şekilde tanımladı: Industrial OS üzerinde Node-RED yüklü SIMATIC IoT2050 Advanced cihazları, Node-RED HTTP arayüzünde kimlik doğrulama eksikliği barındırmaktadır. Bu eksiklik, kimliği doğrulanmamış uzak bir saldırganın kötü amaçlı akışlar oluşturmasına ve temel sunucuda maksimum ayrıcalıklarla rastgele kod çalıştırmasına olanak vermektedir. Sorun, 4.3.4.1 ve sonraki sürümlerde giderildi. Siemens, kullanıcılara geçici önlem olarak Node-RED'i kaldırmalarını ya da HTTPS erişimini etkinleştirme, kimlik bilgisi tabanlı kimlik doğrulama veya OAuth/OpenID sağlayıcısıyla editör ve yönetici API'sini güvence altına alma ile HTTP Düğümleri ve Node-RED Panosunu temel kimlik doğrulamasıyla koruma adımlarını uygulamalarını tavsiye etti.

VulnCheck'in Bal Küpünde Yakalanan Saldırılar​

VulnCheck, 30 Ekim 2026 itibarıyla bal küpü ağında CVE-2026-58115'i silah olarak kullanan saldırı girişimleri gözlemlediğini açıkladı. Firma araştırmacısı Patrick Garrity, saldırı yöntemini şu sözlerle özetledi: "Saldırganın isteği eksiksiz bir istismarı kapsıyordu. Bir Node-RED akışı devreye sokuldu, otomatik olarak tetiklendi ve saldırgan kontrolündeki bir sunucudan ikili dosya çekildi; tüm bunlar üç katmanlı kodlamanın ardına gizlenmişti."
Gözlemlenen ilk aşamada kötü amaçlı akış, bir kabuk betiği sarmalayıcısını çalıştıracak biçimde tasarlandı. Bu sarmalayıcı, AMD64 mimarisine yönelik botnet ikili dosyasını 85.215.73[.]250 adresinden indirmek için wget komutunu kullandı; wget başarısız olursa curl devreye girdi. Son aşamada indirilen ikili dosya "/dev/shm/.b" olarak kaydedilip çalıştırıldı.

Saldırı Zinciri İki Aşamalı Yapıya Dönüştü​

Kampanyanın ilerleyen sürecinde saldırganlar yöntemlerini değiştirerek iki aşamalı bir süreç benimsedi. Yeni yaklaşımda wget komutu, aynı sunucudan "wget.sh" adlı başka bir kabuk betiğini indirmek için kullanıldı. Bunun yanı sıra, "45.194.90[.]57:38472" adresine wget/curl isteği gönderilerek ".sys_update" adlı bir yük alındığı ve bu yükün zararsız bir çekirdek işçi iş parçacığı görünümü vermek amacıyla "/tmp/.kworker" olarak diske kaydedildiği de tespit edildi. Ancak "wget.sh" veya ".kworker" dosyalarına ulaşılamadığından her ikisinin tam işlevselliği belirsizliğini korumaktadır.

Yeniden Başlatmaya Karşı Dayanıklı Arka Kapılar​

Garrity'nin aktardığına göre bazı istekler hiçbir indirici içermiyordu. Bunun yerine saldırganlar, akış üzerinden bir HTTP giriş uç noktası (örneğin /cmd veya rastgele adlandırılmış bir yol) açarak bunu bir fonksiyon düğümü aracılığıyla addpay etkinleştirilmiş bir exec düğümüne bağladı. Bu yapı sayesinde saldırganlar, bir sorgu parametresi üzerinden istedikleri komutu sonradan çalıştırabilir hale geldi. Araştırmacı, bu yöntemin özellikle tehlikeli olduğunu vurguladı: "Bu arka kapı, bellekte tutulan bir implant yeniden başlatmada kaybolsa bile varlığını sürdürüyor."

Sıkça Sorulan Sorular​

CVE-2026-58115 açığı hangi cihazları etkiliyor?​

Açık, Industrial OS üzerinde Node-RED yüklü Siemens SIMATIC IoT2050 Advanced cihazlarını etkiliyor.

Bu güvenlik açığının CVSS puanı nedir ve neden bu kadar kritik?​

Açığın CVSS puanı 10,0 olup azami önem derecesini temsil etmektedir. Kimliği doğrulanmamış uzak saldırganların sisteme maksimum ayrıcalıklarla erişmesine ve istedikleri kodu çalıştırmasına olanak tanıdığı için bu derece verilmiştir.

Siemens açığı hangi sürümde kapattı ve geçici öneri olarak ne tavsiye etti?​

Siemens açığı 4.3.4.1 ve sonraki sürümlerde giderdi. Güncelleme yapılamıyorsa Node-RED'i kaldırmayı ya da HTTPS erişimi, kimlik bilgisi tabanlı doğrulama ve temel kimlik doğrulama gibi sertleştirme adımlarını uygulamayı tavsiye etti.

Saldırganlar ele geçirdikleri sistemlere ne tür zararlı yazılımlar yerleştiriyor?​

Gözlemlenen saldırılarda AMD64 mimarisine yönelik Linux bot ikili dosyaları indirildi; ayrıca ".kworker" adıyla çekirdek iş parçacığı kılığına büründürülmüş yükler ve yeniden başlatmaya karşı dayanıklı uzaktan komut çalıştırma arka kapıları kuruldu.

Arka kapının yeniden başlatmaya karşı dayanıklı olması ne anlama geliyor?​

Bellekte saklanan implantların aksine bu arka kapı, Node-RED akışı üzerinde kalıcı bir HTTP uç noktası açarak çalışır. Sistem yeniden başlatılsa bile akış yapısı cihazda kaldığından saldırgan, sorgu parametresi üzerinden komut göndermeye devam edebilir.