Siemens IoT2050'de 10.0 puanlı Node-RED açığı aktif sömürülüyor

Siemens'in endüstriyel sahalarda yaygın kullanılan SIMATIC IoT2050 Advanced ağ geçidi cihazlarını etkileyen ve CVSS ölçeğinde 10.0 puan alan açık, saldırganlar tarafından aktif olarak sömürülmeye başlandı. CVE-2026-58115 kodlu açık, cihaz üzerinde çalışan Node-RED akış yönetim arayüzünün kimlik doğrulaması olmadan erişilebilir kalmasından kaynaklanıyor.

Güvenlik araştırma şirketi VulnCheck, 2 Kasım 2026 tarihli uyarısında tuzak sistemlerine (honeypot) yönelik ilk saldırı denemelerini 30 Ekim 2026'da gözlemlediğini bildirdi. Saldırgan, yönetim arayüzüne tek bir HTTP isteği göndererek kendi akışını cihaza yüklüyor; akış saniyeler içinde tetikleniyor ve işletim sistemi üzerinde komut çalıştırıyor. VulnCheck'in aktardığına göre ilk dalgada bellek üzerinde çalışan bir bot yazılımı indirildi, sonraki denemelerde ise cihaza kalıcı bir web kabuğu (arka kapı) bırakıldı. Bu arka kapı, bellekteki zararlı yazılım yeniden başlatmayla silinse bile yerinde kalıyor.

Neden önemli?

Açığı kritik yapan şey yalnızca puanı değil, sömürülme kolaylığı. İstismar için özel bir araç, kullanıcı etkileşimi veya önceden ele geçirilmiş bir hesap gerekmiyor; cihazın yönetim arayüzüne ağ üzerinden ulaşabilmek yeterli. Sorun yalnızca Siemens donanımıyla da sınırlı değil: kimlik doğrulaması (adminAuth) etkinleştirilmeden kurulan her Node-RED örneği aynı riski taşıyor.

Siemens, açığa ilişkin güvenlik bildirimini Ağustos 2026'da yayımlamış ve düzeltmeyi Industrial OS V4.3.4.1 sürümüyle sunmuştu. Yani saldırılar, yaması aylardır hazır olan bir açık üzerinden yürüyor. Bu tablo, OT ve IoT cihazlarında yama döngüsünün kurumsal sunuculara kıyasla ne kadar yavaş işlediğini bir kez daha gösteriyor.

Türkiye ve KOBİ tarafında karşılığı

SIMATIC IoT2050 gibi endüstriyel ağ geçitleri; üretim tesislerinde, sanayi sitelerindeki atölyelerde, lojistik depolarında ve bina otomasyon panolarında makine verisini toplayıp raporlama sistemlerine taşımak için kullanılıyor. Bu cihazlar çoğu zaman bir entegratör tarafından kurulup devreye alınıyor, sonrasında ise kimsenin envanterinde görünmüyor. Üretim hattının "çalışıyor" olması, cihazın güncel olduğu anlamına gelmiyor.

İkinci bir risk, bu cihazların ağ konumu. Uzaktan izleme kolay olsun diye yönetim arayüzünün doğrudan internete açılması ya da üretim ağının ofis ağıyla aynı segmentte bırakılması yaygın bir uygulama. Ele geçirilen bir ağ geçidi, bu durumda saldırgan için sadece bir sensör kutusu değil, kurumsal ağın içine açılan bir kapı haline geliyor.

Üretim yapan bir KOBİ için buradaki kayıp genellikle veri sızıntısından önce durma süresi olarak ortaya çıkıyor: hat verisinin kesilmesi, raporlamanın durması, bazen üretim planının bozulması. Cihazın üzerinde kişisel veri işleniyorsa (örneğin personel kart okuma ya da kamera entegrasyonu) tablo KVKK tarafında da bir veri ihlali bildirimine dönüşebiliyor. Bu nedenle endüstriyel cihazları "işletme ekipmanı" olarak değil, kurumsal BT envanterinin bir parçası olarak ele almak gerekiyor.

Kamer Bilişim olarak ne öneriyoruz?

• Önce envanter çıkarın. Sahadaki tüm endüstriyel ağ geçitlerini, PLC yan bilgisayarlarını ve Node-RED kurulu sistemleri listeleyin; her biri için sürüm, sorumlu entegratör ve yama durumu bilgisini kayıt altına alın. Görmediğiniz cihazı koruyamazsınız.
• Yönetim arayüzlerini internetten kapatın. Node-RED editörünü ve yönetim API'sini dış dünyaya açık bırakmayın; uzaktan erişim gerekiyorsa VPN üzerinden verin. Güncellemeyi hemen yapamadığınız cihazlarda en azından adminAuth kimlik doğrulamasını etkinleştirin veya Node-RED'i kaldırın.
• Üretim ağını ayırın ve izleyin. OT cihazlarını ayrı bir VLAN'a alıp güvenlik duvarında yalnızca ihtiyaç duyulan trafiğe izin verin. Bu cihazlardan dışarıya çıkan bağlantıları kısıtlamak, arka kapı bırakılsa bile komuta sunucusuna ulaşmasını engeller.

Sahadaki endüstriyel cihazlarınızın envanterini çıkarmak, ağ segmentasyonunu gözden geçirmek veya güvenlik duvarı kurallarınızı birlikte değerlendirmek isterseniz iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz.

Kaynak: The Hacker News, Securityonline.info, VulnCheck