Une seule requête suffit pour pirater certains boîtiers industriels Siemens non mis à jour

Pas besoin de mot de passe. Pour prendre la main sur certains boîtiers industriels Siemens, une requête web suffit, et des robots s'en servent au moins depuis le 30 octobre. Ce jour-là, un serveur-leurre de VulnCheck, installé pour observer les pirates, enregistre une attaque complète. L'assaillant dépose un petit programme dans Node-RED et le déclenche aussitôt. Ce programme télécharge un fichier nommé bot-linux-amd64, le range dans la mémoire vive et le lance.

La faille, CVE-2026-58115, est notée 10 sur 10. Elle touche les boîtiers SIMATIC IoT2050 sous Industrial OS sur lesquels est installé Node-RED, un outil de programmation visuelle qui relie capteurs, machines et services en ligne. Siemens l'a rendue publique le 11 août. La version V4.3.4-1 la corrige. Le 4 novembre, le fabricant a révisé son avis : il cite désormais quatre modèles, les IoT2050 Advanced, Basic, M.2 et SM.

Une porte d'administration ouverte à tous

Selon Siemens, ces boîtiers n'exigent aucune authentification sur l'interface web de Node-RED. Or l'outil contient des blocs capables d'exécuter des commandes système. Un attaquant distant et sans compte pourrait donc faire tourner son propre code avec les privilèges maximaux. La documentation de Node-RED le dit sans détour : par défaut, l'éditeur « n'est pas sécurisé ». Ce réglage ne convient qu'à un réseau de confiance.

Des robots qui ratissent Internet

Entre le 30 octobre et le 1er novembre, VulnCheck a compté 16 tentatives venues d'une même adresse IP du réseau de Microsoft, localisée au Brésil. Les charges ont varié : script de téléchargement, second serveur, portes dérobées web laissées en place. VulnCheck n'a pas récupéré les programmes et ne dit rien de leurs capacités. La même adresse a visé huit failles dans des logiciels aussi différents que Gitea, Joomla ou Apache Solr. VulnCheck y voit la signature d'un balayage opportuniste de masse : les Node-RED sans protection d'administration « sont trouvés et exploités automatiquement ». La faille ne figurait pas encore au catalogue de la CISA, l'agence américaine de cybersécurité, au moment de cette analyse.

Que faire ?

Comme pour les frigos de supermarchés, où des mots de passe faibles ont suffi selon l'ANSSI, le danger vient d'un accès laissé ouvert, pas d'une prouesse technique.

• Mettre à jour les IoT2050 en version V4.3.4-1 ou ultérieure.
• À défaut, désinstaller Node-RED ou le durcir selon le guide du projet, et filtrer l'accès réseau aux boîtiers, comme le recommande Siemens.
• Vérifier qu'aucun Node-RED n'est joignable depuis Internet, y compris ceux intégrés à des équipements d'autres marques.
• Activer la protection d'administration (adminAuth) avec des mots de passe hachés, et passer en HTTPS.
• Passer en revue les programmes déployés et repérer tout bloc d'exécution de commandes ou point d'entrée web inattendu.

Reste une question : combien d'autres équipements industriels embarquent Node-RED sans mot de passe ? VulnCheck cite une documentation d'Emerson qui le mentionne, sans avoir vérifié si ses produits sont touchés.