Siemens SIMATIC IoT2050 Advanced
Siemens SIMATIC IoT2050 Advanced: Node-RED senza autenticazione, esecuzione di codice
Il problema, secondo i dati ufficiali
- L'interfaccia HTTP di Node-RED sui dispositivi colpiti non richiede autenticazione e dà accesso a nodi di programmazione in grado di eseguire comandi di sistema sul server.
- Un attaccante remoto non autenticato può creare flussi dannosi tramite l'interfaccia HTTP ed eseguire codice arbitrario sul server sottostante con i privilegi massimi.
- La falla riguarda i dispositivi con Industrial OS su cui è installato Node-RED.
- Secondo la CISA l'attacco si può automatizzare.
Cosa fare
- Aggiorna SIMATIC IoT2050 Advanced alla versione V4.3.4.1 o successiva.
- Se il servizio è raggiungibile da internet e non puoi aggiornare subito, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- SIMATIC IoT2050 Advanced: prima della V4.3.4.1
Ne parlano
- Aggiornamenti per prodotti Siemens — CSIRT Italia, 4 novembre 2026
- Attackers Exploit Critical Siemens IoT2050 Flaw to Plant Remote Command Backdoors — The Hacker News, 3 novembre 2026
Fonti ufficiali
- cert-portal.siemens.com — riferimento
Descrizione ufficiale (in inglese)
A vulnerability has been identified in SIMATIC IoT2050 Advanced (6ES7647-0BA00-1YA2) (All versions < V4.3.4.1 running Industrial OS with Node-RED installed). Affected devices do not enforce authentication on the Node-RED HTTP interface, allowing unauthenticated access to programming nodes that are capable of executing system commands on the server. This could allow an unauthenticated remote attacker to create malicious flows through the HTTP interface in order to execute arbitrary code on the underlying server with maximum privileges.
Non sai se ti riguarda?
Se usi Siemens SIMATIC IoT2050 Advanced e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 4 novembre 2026. Prima di intervenire verifica l'avviso del produttore.