シーメンスの満点脆弱性、悪用を確認　再起動後も残る裏口を設置、自社は大丈夫か

　セキュリティ企業のVulnCheckは11月2日、シーメンスの産業用ゲートウェイ「SIMATIC IoT2050 Advanced」に載るNode-REDの脆弱性「CVE-2026-58115」が、実際の攻撃に悪用されたと明らかにした。同社が設けた囮環境（カナリア）で、10月30日に攻撃を観測したという。

　Node-REDは、機器やサービスをつないで処理の流れを組み立てるオープンソースのツールだ。今回の脆弱性は、その管理用APIに認証がないというもの。ネットワークから届く攻撃者が、認証なしで管理操作を行い、OSのコマンドを実行できてしまう。CVSS（共通脆弱性評価システム）の基本値は、v3.1、v4.0ともに最高の10.0である。

　シーメンスの勧告は8月11日付で、「SSA-834709」として公開されていた。対象は、Industrial OSでNode-REDを導入したSIMATIC IoT2050 Advancedのうち、V4.3.4.1未満の全バージョン。修正版はV4.3.4.1で、回避策にはNode-REDのアンインストールか、Node-RED公式の手引きに沿ったハードニングを挙げている。

　VulnCheckによると、観測された攻撃では、細工した設定（フロー）が機器に送り込まれ、外部のサーバからLinux向けのボットがダウンロードされて実行された。ボットの中身は入手できておらず、機能は確認できていないという。

　11月1日の更新では、HTTPの入り口とコマンド実行用のノードを結びつけたフローが仕込まれる例も報告された。メモリ上のボットが再起動で消えても残るため、攻撃者が後から命令を送る裏口として働くという。

　今回の観測は同社の囮環境によるもので、実際の機器で何台が被害を受けたかは明らかになっていない。