Siemens IoT2050 Açığı Aktif Saldırılarda Kullanılıyor: Uzaktan Kod Çalıştırma Riski

Siemens SIMATIC IoT2050 Advanced cihazlarını etkileyen ve maksimum ciddiyet puanı olan CVSS 10,0 ile derecelendirilen CVE-2026-58115 güvenlik açığı, aktif saldırılarda kullanılmaya başlandı. Siber güvenlik araştırma şirketi VulnCheck, söz konusu açığın kendi bal tuzağı ağına yönelik gerçek saldırılarda tespit edildiğini kamuoyuyla paylaştı.

Açık Nedir ve Hangi Cihazları Etkiliyor?​

CVE-2026-58115, Industrial OS işletim sistemi üzerinde Node-RED yüklü olarak çalışan SIMATIC IoT2050 Advanced cihazlarındaki Node-RED HTTP arayüzünde kimlik doğrulamasının eksik olmasından kaynaklanıyor. Bu durum, kimliği doğrulanmamış uzak bir saldırganın kötü amaçlı akışlar oluşturmasına ve sunucuda en yüksek ayrıcalıklarla rastgele kod çalıştırmasına olanak tanıyor. Siemens, açığa ilişkin güvenlik danışma belgesini Ağustos 2026'da yayımladı. Sorun, 4.3.4.1 ve sonraki sürümlerde giderildi.
Siemens, kullanıcılara geçici önlem olarak Node-RED'i kaldırmayı ya da kurulumu sertleştirmeyi öneriyor. Sertleştirme adımları arasında HTTPS erişiminin etkinleştirilmesi, düzenleyici ve yönetici API'sinin kimlik bilgisi tabanlı kimlik doğrulama veya OAuth/OpenID sağlayıcısı aracılığıyla güvence altına alınması ve HTTP düğümleri ile Node-RED Dashboard'un temel kimlik doğrulamayla korunması yer alıyor.

Saldırı Nasıl Gerçekleşiyor?​

VulnCheck, 30 Ekim 2026 itibarıyla saldırganların CVE-2026-58115'i bal tuzağı ağına karşı silah olarak kullanmaya çalıştığını gözlemledi. VulnCheck araştırmacısı Patrick Garrity, saldırının eksiksiz bir istismar niteliği taşıdığını belirtti. Garrity'nin açıklamasına göre saldırı; bir Node-RED akışı devreye alıyor, bunu otomatik olarak tetikliyor ve saldırgan kontrolündeki bir sunucudan ikili dosya çekiyor; üstelik tüm bunlar üç katmanlı kodlama arkasına gizleniyor.
Teknik detaylara bakıldığında, kötü amaçlı akışın bir kabuk betiği sarmalayıcısı çalıştırdığı görülüyor. Bu sarmalayıcı, AMD64 mimarisi için botnet ikili dosyasını 85.215.73[.]250 adresinden indirmek amacıyla wget kullanıyor; wget başarısız olursa yedek olarak curl devreye giriyor. Son aşamada indirilen ikili dosya /dev/shm/.b olarak kaydedilerek çalıştırılıyor.

Saldırı Zincirindeki Sonraki Aşamalar​

Kampanyanın ilerleyen sürecinde saldırganların iki aşamalı bir yönteme geçtiği tespit edildi. Bu yeni yöntemde wget komutu, aynı sunucudan wget.sh adlı başka bir kabuk betiğini indirmek için kullanılıyor. Öte yandan farklı bir istek ise 45.194.90[.]57:38472 adresine wget/curl yönlendirerek .sys_update adlı bir yük getiriyor. Bu yük, zararsız bir çekirdek iş parçacığı gibi görünmek amacıyla /tmp/.kworker olarak diske kaydediliyor ve ardından çalıştırılıyor. VulnCheck, wget.sh ve .kworker dosyalarına ulaşamadığından bu dosyaların tam işlevselliği henüz bilinmiyor.

Kalıcı Arka Kapı Tehdidi​

Garrity, bazı isteklerin hiçbir indirici içermediğini de aktardı. Bu tür isteklerde akış, örneğin /cmd veya rastgele adlandırılmış bir yol gibi bir HTTP giriş uç noktası açıyor ve bunu addpay seçeneği etkin bir exec düğümüne bağlıyor. Bu yapı sayesinde saldırgan, daha sonra bir sorgu parametresi aracılığıyla isteğe bağlı komutlar çalıştırabiliyor. Garrity'nin özellikle altını çizdiği kritik nokta ise şu: Bu arka kapı, bellekte tutulan bir implant yeniden başlatmada kaybolsa bile varlığını sürdürüyor.

Sıkça Sorulan Sorular​

CVE-2026-58115 güvenlik açığı nedir?​

CVE-2026-58115, Siemens SIMATIC IoT2050 Advanced cihazlarında Node-RED HTTP arayüzündeki kimlik doğrulama eksikliğinden kaynaklanan bir güvenlik açığıdır. CVSS puanı 10,0 olan bu açık, kimliği doğrulanmamış uzak saldırganların sunucuda en yüksek ayrıcalıklarla rastgele kod çalıştırmasına olanak tanıyor.

Açık hangi sürümde giderildi?​

Siemens, CVE-2026-58115 güvenlik açığını 4.3.4.1 ve sonraki sürümlerde giderdi. Siemens ayrıca güncelleme yapamayan kullanıcılar için Node-RED'i kaldırmayı ya da HTTPS ve kimlik doğrulama gibi sertleştirme adımlarını uygulamayı öneriyor.

Saldırganlar bu açığı nasıl istismar ediyor?​

Saldırganlar, kötü amaçlı Node-RED akışları oluşturarak bunları otomatik olarak tetikliyor ve kendi kontrollerindeki sunuculardan Linux bot ikili dosyaları indiriyor. Bazı saldırılarda ise herhangi bir dosya indirmeksizin HTTP uç noktaları aracılığıyla uzaktan komut yürütmeye olanak tanıyan kalıcı arka kapılar kuruluyor.

Saldırılarda hangi IP adresleri tespit edildi?​

VulnCheck'in gözlemlerine göre saldırılarda 85.215.73[.]250 ve 45.194.90[.]57 IP adresleri kullanıldı. Bu adresler, kötü amaçlı ikili dosyaların ve kabuk betiklerinin barındırıldığı saldırgan kontrolündeki sunuculara ait.

Arka kapı neden özellikle tehlikeli sayılıyor?​

Patrick Garrity'ye göre bu arka kapı, HTTP uç noktaları üzerinden çalıştığı için bellekte tutulan bir implant yeniden başlatmada silinse bile varlığını sürdürüyor. Bu özellik, saldırganların cihaza uzun süreli erişimini mümkün kılıyor.