Sebuah kerentanan dengan tingkat keparahan maksimal yang berdampak pada perangkat Siemens SIMATIC IoT2050 Advanced kini tengah dieksploitasi secara aktif di dunia nyata, menurut temuan VulnCheck.
Celah keamanan yang diidentifikasi sebagai CVE-2026-58115 (skor CVSS: 10.0) ini merupakan permasalahan hilangnya autentikasi pada fungsi kritis, memungkinkan peretas jarak jauh tanpa izin mengeksekusi kode berbahaya.
"Perangkat SIMATIC IoT2050 Advanced yang memakai Industrial OS serta memiliki instalasi Node-RED mengandung kerentanan ketiadaan autentikasi pada antarmuka HTTP Node-RED. Hal ini memicu penyerang jarak jauh tanpa autentikasi membuat alur berbahaya sekaligus menjalankan kode berbahaya pada server target menggunakan hak istimewa tertinggi," ungkap pihak Siemens lewat peringatan resmi mereka pada Agustus 2026 lalu.
Masalah tersebut kini telah dituntaskan pada versi 4.3.4.1 atau pembaruan sesudahnya. Sebagai langkah pencegahan tambahan, pihak vendor menyarankan pelanggan untuk mencopot Node-RED atau memperkuat pengaturannya lewat serangkaian petunjuk penanganan.
Per tanggal 30 Oktober 2026, peneliti VulnCheck melaporkan adanya upaya para peretas mempersenjatai CVE-2026-58115 terhadap jaringan jebakan (honeypot) milik mereka, dengan maksud mengunduh dan menyusupkan bot Linux.
"Permintaan dari pelaku penyerangan merupakan eksploitasi yang seutuhnya matang," terang periset VulnCheck Patrick Garrity. "Tindakan itu memasang alur Node-RED, memicunya otomatis, dan menarik program biner dari server milik pelaku, semuanya tersembunyi di balik tiga lapisan enkripsi."
Secara rinci, alur berbahaya ini ditujukan guna mengeksekusi skrip cangkang, memakai instruksi wget untuk mengunduh biner botnet berbasis arsitektur AMD64 dari alamat 85.215.73[.]250. Fitur curl digunakan sebagai cadangan jika perintah wget menemui kegagalan. Pada fase penutup, fail biner ditaruh pada direktori "/dev/shm/.b" lantas dijalankan langsung.
Sejak peristiwa tersebut, aktor kejahatan siber yang mendalangi operasi ini beralih ke skema dua babak, memanfaatkan baris wget untuk menyedot skrip lain bertajuk "wget.sh" dari peladen yang sama.
Aktivitas lain terpantau memicu wget atau curl ke "45.194.90[.]57:38472" guna menarik muatan ".sys_update," menempatkannya ke "/tmp/.kworker" agar terlihat seperti proses utas kernel biasa, kemudian mengeksekusinya. Khasiat spesifik dari "wget.sh" maupun ".kworker" belum berhasil disingkap lantaran fail tersebut gagal didapatkan kembali.
"Sejumlah permintaan penyerang bahkan tidak memerlukan modul pengunduh. Alur tersebut sengaja membuka titik akhir HTTP (misalnya /cmd atau rute acak lain) yang disambungkan lewat node fungsi menuju node exec dengan opsi addpay menyala, sehingga penyerang leluasa meluncurkan instruksi произвольный kapan saja via parameter kueri," jelas Garrity. "Pintu belakang model ini tetap bertahan meski muatan sementara hilang setelah proses pemuatan ulang."
