Pubblicato il 2026-08-11 · Fonte: NVD NIST
È stata identificata una vulnerabilità critica (CVE-2026-58115) nel dispositivo SIMATIC IoT2050 Advanced, che consente l'accesso non autenticato all'interfaccia HTTP di Node-RED. Ciò permette a un attaccante remoto non autenticato di creare flussi malintenzionati per eseguire codice arbitrario sul server sottostante con massimi privilegi. La vulnerabilità è classificata come CWE-306 e ha un punteggio CVSS di 10.0, indicando un impatto critico.
Un attaccante può sfruttare questa vulnerabilità per eseguire codice arbitrario sul server con massimi privilegi, potenzialmente portando a un controllo completo del sistema. I dispositivi SIMATIC IoT2050 Advanced con versioni inferiori a V4.3.4.1 e con Node-RED installato sono a rischio. Gli attaccanti possono creare flussi malintenzionati attraverso l'interfaccia HTTP per eseguire azioni dannose sul server.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare il dispositivo SIMATIC IoT2050 Advanced alla versione V4.3.4.1 o successiva. Inoltre, è importante assicurarsi che l'accesso all'interfaccia HTTP di Node-RED sia protetto da autenticazione e autorizzazione adeguata. Se l'aggiornamento non è possibile, si possono implementare workaround come il blocco dell'accesso all'interfaccia HTTP di Node-RED da fonti non autorizzate.
La vulnerabilità CVE-2026-58115 è una vulnerabilità critica che colpisce il dispositivo SIMATIC IoT2050 Advanced, permettendo l'accesso non autenticato all'interfaccia HTTP di Node-RED e l'esecuzione di codice arbitrario sul server sottostante.
I dispositivi SIMATIC IoT2050 Advanced con versioni inferiori a V4.3.4.1 e con Node-RED installato sono a rischio.
Per proteggersi da questa vulnerabilità, si consiglia di aggiornare il dispositivo SIMATIC IoT2050 Advanced alla versione V4.3.4.1 o successiva e di implementare misure di autenticazione e autorizzazione adeguata per l'accesso all'interfaccia HTTP di Node-RED.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.