Веб-интерфейс промышленного шлюза Siemens SIMATIC IOT2050 Advanced допускает удалённое выполнение кода без проверки учётных данных. Уязвимость CVE-2026-58115 затрагивает версии устройства до 4.3.4.1 и имеет максимальную оценку CVSS 10. Атакующему достаточно сетевого доступа к интерфейсу, а эксплойт уже существует.
Уязвимость CVE-2026-58115 в SIMATIC IOT2050 Advanced
Проблема описана в Банке данных угроз безопасности информации (BDU) под номером BDU:2026-18085 и в уведомлении Siemens SSA-834709. Речь идёт об отсутствии аутентификации для критичной функции, то есть часть веб-интерфейса доступна без входа в систему. Такой тип ошибки классифицируют как CWE-306. Проверка прав доступа для этой функции не предусмотрена, поэтому учётные данные не требуются.
После подключения к веб-интерфейсу злоумышленник может отправить команды, которые шлюз воспримет как легитимные. Уязвимость позволяет выполнить произвольный код на устройстве. Это не ограничивается просмотром страниц администрирования. Атакующий получает возможность влиять на работу шлюза и на связанные сегменты сети.
Шлюз SIMATIC IOT2050 Advanced применяют для связи промышленного оборудования с сетями управления и ИТ-инфраструктурой. Компрометация такого устройства расширяет возможности атакующего внутри производственного контура. Максимальная оценка CVSS 10 по версиям 2.0, 3.1 и 4.0 отражает сочетание удалённого доступа, отсутствия аутентификации и высокого влияния на конфиденциальность, целостность и доступность. Вектор сетевой, сложность низкая, привилегии не нужны, участие пользователя не требуется. В BDU отмечено, что эксплуатация возможна удалённо, а эксплойт существует.
Затронуты версии SIMATIC IOT2050 Advanced до 4.3.4.1. Производитель подтвердил уязвимость. Проблему закрывает обновление программного обеспечения; Siemens приводит рекомендации в уведомлении SSA-834709. В BDU указан диапазон уязвимых сборок, поэтому конкретную версию для установки нужно сверять с документом производителя. Там же указано, что проблема закрыта.
Наличие готового эксплойта повышает риск. Промышленные шлюзы часто работают годами без частых обновлений, поэтому устаревшая сборка может оставаться в сети дольше, чем предполагает график обновлений. Если устройство доступно из корпоративной сети или из интернета, риск выше.
Администраторам стоит проверить версию устройства и сверить её с уведомлением Siemens. Обновление нужно установить в первую очередь на шлюзы, доступные из недоверенных сегментов. Если веб-интерфейс не используется, его лучше отключить. До установки исправления доступ к интерфейсу ограничивают доверенными сетями и не публикуют наружу.
Сама по себе максимальная оценка CVSS не означает, что атака уже идёт. Однако сочетание отсутствия аутентификации с готовым эксплойтом делает CVE-2026-58115 практической проблемой, а не теоретической. Для промышленного объекта последствия зависят от роли шлюза: чем больше устройств и сетей он связывает, тем шире зона риска.
CVE-2026-58115 относится к уязвимостям, которые не требуют сложной подготовки. Удалённый доступ без учётных данных и наличие эксплойта снижают порог атаки. Владельцам SIMATIC IOT2050 Advanced нужно как можно быстрее вывести устройство из уязвимого диапазона версий и проверить, какие интерфейсы шлюза видны из сети.
Ссылки
- https://bdu.fstec.ru/vul/2026-18085
- https://www.cve.org/CVERecord?id=CVE-2026-58115
- https://cert-portal.siemens.com/productcert/html/ssa-834709.html
