## En bref

- CVE-2026-58115 (CVSS 10.0) : exécution de code arbitraire sans authentification via l'interface HTTP admin de Node-RED sur Siemens SIMATIC IoT2050 Advanced.

- Systèmes affectés : Siemens SIMATIC IoT2050 Advanced sous Industrial OS avant 4.3.4.1 — et par extension tout déploiement Node-RED sans authentification adminAuth activée.

- Action urgente : mettre à jour vers Industrial OS 4.3.4.1, activer adminAuth dans Node-RED, et retirer l'interface d'administration de tout accès réseau non maîtrisé.

## Les faits

CVE-2026-58115 est une vulnérabilité de sévérité maximale — CVSS 10.0 aussi bien en CVSS 3.1 qu'en CVSS 4.0, attribué par Siemens en tant que CNA (CVE Numbering Authority) — affectant les équipements industriels Siemens SIMATIC IoT2050 Advanced. Cette faille, publiée dans un advisory Siemens en août 2026, est activement exploitée dans la nature depuis la fin du mois d'octobre 2026, avec des incidents documentés par VulnCheck sur des honeypots instrumentés. Elle représente une menace directe pour les environnements OT (Operational Technology) et les infrastructures industrielles utilisant ces passerelles IoT.

La vulnérabilité est une absence totale d'authentification sur l'interface HTTP d'administration de Node-RED, l'outil de programmation visuelle par flux (flow-based programming) intégré à l'Industrial OS des appareils Siemens IoT2050. Node-RED dispose nativement d'un mécanisme d'authentification administrateur appelé adminAuth ; cependant, les versions affectées du firmware Siemens n'activent pas cette protection, laissant l'API REST de Node-RED accessible à quiconque peut atteindre le port réseau de l'équipement. Le résultat est immédiat : n'importe quel acteur malveillant en mesure de joindre l'interface réseau de l'appareil peut créer, modifier ou supprimer des flux Node-RED, et donc exécuter du code arbitraire avec les privilèges du processus Node-RED — généralement root sur ces équipements embarqués.

VulnCheck a documenté avec précision la première exploitation observée le 30 octobre 2026, sur un équipement leurre ([honeypot](/glossaire/honeypot)) instrumenté. L'attaque consiste en une simple requête HTTP POST vers le point d'accès /flows de l'interface Node-RED, envoyée avec le user-agent curl/8.5.0. Le payload JSON contient trois nœuds Node-RED : un nœud onglet vide (tab), un nœud inject configuré pour se déclencher automatiquement une seconde après le déploiement du flux, et un nœud exec relié au nœud inject. Le nœud exec contient une commande shell qui télécharge un binaire Linux depuis un serveur de commande et contrôle distant, le place dans le répertoire /dev/shm (mémoire partagée en RAM, invisible aux analyses de disque classiques), et l'exécute immédiatement. Entre le 30 octobre et le 1er novembre 2026, VulnCheck a enregistré 16 tentatives d'exploitation provenant de la même adresse IP sur ce seul honeypot.

L'exploitation est d'une redoutable simplicité : l'ensemble du vecteur tient en une seule requête HTTP POST, sans aucune authentification, sans connaissance de l'infrastructure cible au-delà de son adresse IP et de son port. Cette simplicité implique que l'exploitation peut être facilement automatisée à grande échelle via des scanners réseau ciblant le port 1880 (port par défaut de Node-RED). La charge utile observée est un bot Linux — VulnCheck identifie qu'il s'agit probablement d'un agent de [botnet](/glossaire/botnet-reseau-robots) (variante Mirai) ou d'un implant de type RAT (Remote Access [Trojan](/glossaire/trojan-cheval-de-troie)) persistant. Une fois exécuté depuis /dev/shm, le bot établit une connexion sortante vers l'infrastructure C2 de l'attaquant, offrant un accès persistant à l'équipement industriel compromis.

Dans un contexte OT/IIoT, cela signifie l'accès aux données de capteurs industriels, à la commande d'actionneurs, aux paramètres de processus industriels, et potentiellement à des systèmes [SCADA](/glossaire/scada-systemes-industriels) ou DCS connectés au même réseau industriel. Les passerelles Siemens IoT2050 sont souvent positionnées à l'interface entre le réseau IT et le réseau OT, ce qui en fait des pivots particulièrement précieux pour des attaquants cherchant à atteindre des équipements de contrôle industriels normalement isolés.

La portée de CVE-2026-58115 dépasse les seuls équipements Siemens IoT2050. Node-RED est une plateforme open source largement déployée dans l'écosystème IoT au sens large : homelab, domotique industrielle, smart building, automatisation de processus et certains SI d'entreprise. Dès lors qu'une instance Node-RED tourne sans adminAuth activé — ce qui est la configuration par défaut après une installation fraîche — elle est théoriquement exposée au même vecteur d'exploitation, indépendamment du matériel sous-jacent. Des rapports de sécurité indiquent que des acteurs malveillants ciblent activement tout déploiement Node-RED sans authentification, et pas uniquement les appareils Siemens. La surface d'attaque mondiale inclut des milliers d'instances Node-RED indexées par des moteurs de recherche spécialisés comme [Shodan](/glossaire/shodan) et [Censys](/glossaire/censys).

D'un point de vue forensique, la détection d'une exploitation réussie est complexe. Les logs réseau montreront un POST vers /flows, mais si l'équipement n'est pas configuré pour journaliser les requêtes HTTP entrantes, cet accès peut passer inaperçu. La présence d'un binaire inconnu dans /dev/shm, de connexions réseau sortantes vers des IP non reconnues, ou d'une charge CPU anormale sur l'IoT2050 sont des indicateurs de compromission potentiels. L'utilisation de /dev/shm comme répertoire d'exécution est une technique anti-forensique délibérée : ce système de fichiers en RAM ne laisse aucune trace sur le disque et disparaît au redémarrage, ce qui rend l'analyse post-incident plus difficile.

Siemens a publié le correctif dans la version 4.3.4.1 de l'Industrial OS pour IoT2050 dès août 2026 — soit près de trois mois avant que l'exploitation active ne soit documentée. Cette fenêtre de trois mois illustre le délai chronique de mise à jour dans les environnements OT, où les interventions de maintenance sur les équipements de production sont soumises à des contraintes opérationnelles strictes (arrêt de ligne, qualifications, maintenances planifiées). La faille n'a pas été ajoutée au catalogue KEV de la CISA à la date du 3 novembre 2026, mais l'exploitation active confirmée et la nature des cibles (infrastructures industrielles critiques) en font une priorité de remédiation absolue.

## Impact et exposition

Les équipements Siemens SIMATIC IoT2050 Advanced sont des passerelles IIoT (Industrial Internet of Things) utilisées dans des secteurs critiques : manufacturing, énergie, bâtiments intelligents, infrastructure de transport et utilities. La compromission de ces équipements via CVE-2026-58115 donne un accès direct au réseau OT, aux données de processus industriels en temps réel, et potentiellement à des systèmes de contrôle SCADA ou DCS connectés. Dans les architectures de convergence IT/OT, cela peut constituer un pivot vers des réseaux industriels normalement isolés, ouvrant la voie à des attaques sur des équipements de terrain (automates programmables, variateurs de fréquence, capteurs critiques).

L'absence d'authentification sur Node-RED comme configuration par défaut est un problème systémique qui dépasse Siemens. Des scans réguliers (Shodan, Censys, BinaryEdge) identifient des milliers d'instances Node-RED exposées sur Internet sans aucune protection. Ces installations constituent des points d'entrée dans des réseaux industriels, des domiciles connectés, des réseaux de distribution d'énergie locale (smart grid) et des systèmes d'automatisation de bâtiments.

La charge utile bot Linux observée en exploitation active est préoccupante : elle est conçue pour persister en mémoire (RAM, via /dev/shm), évitant les analyses forensiques de disque ; elle établit un canal de commande et contrôle permettant à l'attaquant de déployer des charges utiles secondaires à tout moment ; et elle peut servir de relais pour des attaques vers d'autres systèmes du réseau industriel. L'impact sur la disponibilité des processus industriels (risque d'arrêt de production) et sur la confidentialité des données de processus est élevé.

## Recommandations immédiates

- Mettre à jour l'Industrial OS des Siemens IoT2050 Advanced vers la version 4.3.4.1 — Siemens Security Advisory SA-2026-58115

- Activer immédiatement adminAuth dans la configuration Node-RED (/data/settings.js ou équivalent) pour toutes les instances Node-RED, qu'elles soient sur Siemens ou autre matériel

- Retirer l'interface d'administration Node-RED (port 1880 par défaut) de tout accès réseau non maîtrisé — firewall industriel, ACL réseau, VLAN de gestion dédié

- Scanner le réseau industriel pour identifier toutes les instances Node-RED exposées : nmap -p 1880 --open [PLAGE-IP]

- Vérifier la présence de fichiers suspects dans /dev/shm sur tous les équipements IoT2050 : ls -la /dev/shm — tout binaire exécutable non reconnu est un indicateur de compromission

- Chercher des connexions réseau sortantes anormales depuis les IoT2050 vers des IP externes non reconnues (logs pare-feu, NetFlow)

- Si compromission suspectée : isoler immédiatement l'équipement du réseau, effectuer une réinitialisation en usine (factory reset) et restaurer depuis une image propre avant de remettre en service

#### ⚠️ Exploitation active — Cibles industrielles

CVE-2026-58115 est activement exploité depuis fin octobre 2026 pour déployer des bots Linux sur des équipements industriels Siemens IoT2050. Le vecteur d'exploitation est trivial (une seule requête HTTP POST) et peut être automatisé à grande échelle. Toute instance Node-RED sans adminAuth — sur IoT2050 ou tout autre matériel — doit être considérée comme vulnérable et potentiellement compromise.

### Comment vérifier si Node-RED est protégé par adminAuth ?

Ouvrez le fichier de configuration Node-RED (settings.js, généralement dans ~/.node-red/ ou /data/ sur IoT2050). Si la section adminAuth est absente ou commentée, l'interface est ouverte sans authentification. Test rapide : exécutez curl -s http://[IP]:1880/flows depuis une machine externe — si vous obtenez une réponse JSON avec vos flux, l'instance est exposée. Pour activer adminAuth, ajoutez dans settings.js la section adminAuth avec type credentials et redémarrez Node-RED.

### Votre infrastructure OT/IoT est-elle sécurisée ?

Ayi NEDJIMI réalise des audits de sécurité sur les environnements industriels (OT/ICS/SCADA) et les architectures IoT pour identifier et corriger les vulnérabilités critiques.
[Demander un audit](#)