Una vulnerabilità con punteggio CVSS 10.0 nei gateway industriali Siemens SIMATIC IoT2050 Advanced, nota da agosto, è ora sfruttata attivamente. Secondo la ricerca di VulnCheck, ripresa il 3 novembre da The Hacker News, i primi tentativi contro la loro rete di honeypot risalgono al 30 ottobre 2026. Il bug, catalogato come CVE-2026-58115, non richiede credenziali: chi raggiunge via rete l'interfaccia HTTP di Node-RED può eseguire comandi sul dispositivo con i privilegi massimi.

Cosa è successo

La falla riguarda i SIMATIC IoT2050 Advanced (codice 6ES7647-0BA00-1YA2) su cui girano Industrial OS e Node-RED, il tool di programmazione a flussi spesso usato per collegare sensori, PLC e servizi cloud. Su questi dispositivi l'interfaccia HTTP di Node-RED non impone alcuna autenticazione: un attaccante remoto può quindi accedere ai nodi di programmazione, creare un flusso malevolo ed eseguire codice arbitrario sul sistema sottostante. La debolezza è classificata come CWE-306 (autenticazione mancante per una funzione critica) e il punteggio è 10.0 sia in CVSS v3.1 sia in v4.0. Siemens ha pubblicato l'avviso SSA-834709 a metà agosto; sono interessate tutte le versioni precedenti alla V4.3.4.1.

Nelle ultime settimane la vulnerabilità è passata dalla teoria alla pratica. VulnCheck descrive due modalità di attacco osservate:

  • Botnet Linux. La richiesta dell'attaccante installa un flusso Node-RED che si attiva da solo, scarica con wget (o curl, se wget fallisce) un binario per architettura AMD64 e lo esegue da /dev/shm. In una variante successiva la catena è a due stadi: uno script secondario scarica un payload che si finge un thread del kernel (/tmp/.kworker). VulnCheck non è riuscita a recuperare tutti i componenti, quindi le funzioni esatte del malware non sono ancora note.
  • Backdoor senza malware. Alcune richieste non scaricano nulla: creano un endpoint HTTP collegato a un nodo "exec", e da lì l'attaccante passa comandi arbitrari tramite parametri della richiesta. Questa porta di servizio sopravvive anche a un riavvio, perché è un flusso salvato nella configurazione di Node-RED, e non lascia file sospetti da cercare.

Un dettaglio che merita cautela: i due fatti indipendenti qui sono la vulnerabilità (documentata dall'avviso Siemens e dai database CVE, tra cui quello dell'NCSC olandese) e lo sfruttamento osservato (documentato da VulnCheck). Le attività che abbiamo descritto provengono da honeypot, cioè da sistemi esca: dicono che qualcuno sta scansionando e attaccando, non quante installazioni reali siano già compromesse. Al momento non abbiamo trovato conferme di vittime reali né un'inclusione nel catalogo KEV di CISA.

Cosa significa per le aziende italiane

Il caso è istruttivo più per il contesto che per il numero. Il SIMATIC IoT2050 è un dispositivo piccolo, economico e molto flessibile, usato come gateway tra il campo e i sistemi IT: lo si trova in impianti manifatturieri, nel monitoraggio energetico, nella building automation, spesso installato da integratori e poi dimenticato. Proprio per questo il rischio non sta tanto nel grande stabilimento con un SOC dedicato, quanto nelle PMI manifatturiere del Nord e nei distretti industriali dove un integratore ha messo in rete un gateway "per comodità" e nessuno ha un inventario aggiornato.

Il fattore decisivo è l'esposizione. Node-RED ascolta per impostazione predefinita su una porta TCP dedicata e, se l'editor è raggiungibile da Internet o da una rete di fornitori troppo permissiva, la compromissione richiede una singola richiesta HTTP. Chi ha dispositivi esposti, magari tramite un port forwarding aperto per la manutenzione remota, deve considerarli potenzialmente già compromessi. Chi li tiene dietro un firewall ha un rischio molto più basso, ma non nullo: un attaccante che entra nella rete aziendale (phishing, VPN compromessa) trova nel gateway un bersaglio facile da usare come testa di ponte verso la rete di produzione.

Sul piano normativo, il tema tocca direttamente chi rientra in NIS2. Il D.Lgs. 138/2024 impone ai soggetti essenziali e importanti misure di gestione del rischio che includono la gestione delle vulnerabilità, la sicurezza della catena di approvvigionamento e l'inventario degli asset: un gateway non patchato e raggiungibile dall'esterno da tre mesi dopo un avviso del produttore è difficile da difendere in sede di verifica. Se poi dalla compromissione deriva un incidente significativo, scattano gli obblighi di notifica verso il CSIRT Italia con la tempistica prevista dal decreto (pre-notifica entro 24 ore dalla conoscenza). Per i produttori di macchine e i fornitori di componenti che installano questi dispositivi presso clienti NIS2, c'è anche un obbligo contrattuale di fatto: il cliente chiederà evidenza di patching e hardening.

In pratica, la lezione per un consulente è semplice: l'avviso di agosto era chiaro e la patch esisteva. Il problema non è la mancanza di informazioni ma la lacuna tra il bollettino del produttore e il dispositivo installato sul campo, che spesso nessun processo di gestione delle patch copre.

Cosa fare subito

  • Individuare i dispositivi. Censire tutti i SIMATIC IoT2050 (compresi quelli installati da terzi) e verificare quali hanno Node-RED attivo e quale versione di Industrial OS.
  • Aggiornare. Portare i dispositivi alla versione V4.3.4.1 o successiva, come indicato nell'avviso Siemens SSA-834709.
  • Togliere Node-RED se non serve. Siemens raccomanda di disinstallarlo quando non è necessario.
  • Se serve, metterlo in sicurezza. Abilitare HTTPS, proteggere l'editor e l'API di amministrazione con credenziali (o con un provider OAuth/OpenID) e proteggere con autenticazione anche nodi HTTP e dashboard, seguendo la guida "Securing Node-RED".
  • Chiudere l'esposizione. Verificare dal firewall e con una scansione esterna che la porta di Node-RED non sia raggiungibile da Internet; consentire l'accesso solo da reti di gestione definite o tramite VPN con autenticazione a più fattori.
  • Cercare segni di compromissione. Controllare la presenza di file anomali in /dev/shm e /tmp (per esempio .b, .kworker), di flussi Node-RED sconosciuti con nodi "exec" ed endpoint HTTP non documentati, e di connessioni in uscita verso gli indirizzi 85.215.73[.]250 e 45.194.90[.]57 segnalati da VulnCheck.
  • Se trovate tracce, trattatelo come un incidente. Isolare il dispositivo, preservare le evidenze, reinstallare da immagine pulita, ruotare le credenziali che il gateway conosceva e, se siete soggetti NIS2, valutare la notifica al CSIRT Italia.

In sintesi

Una falla da 10 su un dispositivo industriale è sfruttata da settimane dopo la patch: lo schema è ormai familiare per l'OT. Se avete questi gateway, aggiornarli e toglierli da Internet è una questione di ore, non di mesi.