Siemens SIMATIC IoT2050 の CVE-2026-58115: Node-RED の HTTP 画面に認証がなく、認証なしで最高権限のコードを実行される恐れ（CVSS 10.0・V4.3.4-1 で修正）

産業用 IoT ゲートウェイ SIMATIC IoT2050（Siemens）のうち、Industrial OS 上に Node-RED を入れたものに、認証なしで OS のコマンドを実行される恐れのある脆弱性（CVE-2026-58115）が公表されています。CVSS は v3.1・v4.0 とも 10.0 です。Siemens は 2026-08-11 に勧告 SSA-834709 を出し、11/4 に影響製品の表記などを改めました（V1.1）。JPCERT/CC は 11/5 に、この勧告を含む Siemens 製品の更新情報（JVNVU#98354779）を出しています。

内容

Siemens の説明によると、対象の機器は Node-RED の HTTP 画面に認証をかけていません。そのため、ネットワークから届く攻撃者が、システムコマンドを実行できる「プログラミング用ノード」に、ログインなしで触れます。攻撃者が悪意のあるフローを作って流すと、機器の上で最高権限のコードを実行できる恐れがあります。

影響を受ける製品

Industrial OS を動かし、Node-RED を入れた、次の機器の V4.3.4-1 より前のすべてのバージョンです。

• SIMATIC IoT2050 Advanced（6ES7647-0BA00-1YA2）
• SIMATIC IoT2050 Basic（6ES7647-0BA00-0YA2）
• SIMATIC IoT2050 M.2（6ES7647-0BB00-1YA2）
• SIMATIC IoT2050 SM（6ES7647-0CA00-1AA2）

Node-RED を入れていない機器が対象かどうかは、勧告に条件として「Node-RED がインストールされている」とあるため、入れていなければ対象外と読めます（Siemens への直接の確認はしていません）。

評価

指標	内容
CVE / CWE	CVE-2026-58115 / CWE-306（重要な機能に対する認証の欠如）
CVSS v3.1	10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）
CVSS v4.0	10.0（AV:N/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）
認証	不要
EPSS（FIRST、11/6）	0.0089（パーセンタイル 0.60）
CISA KEV	掲載なし（11/7 確認）
NVD の状態	Awaiting Analysis（登録元は Siemens の ProductCERT）

• 認証なしでネットワークから届き、CVSS が 9 以上のため、当サイトの基準では critical を案とします。
• 実際の悪用や、公開された攻撃コードの有無は、勧告に記載がありません（未確認）。

修正と回避策

• 修正: V4.3.4-1 以降への更新（Siemens の推奨）。
• 回避策（Siemens の記載）: Node-RED をアンインストールする。または Node-RED の公式ユーザーガイドに沿って強化（認証の有効化など）する。
• 一般的な対策として、機器へのネットワークアクセスを適切な仕組みで守り、Siemens の産業用セキュリティ運用ガイドラインに従うことが勧められています。

利用者が考えられること

1. 自社の IoT2050 のバージョンと、Node-RED の有無を確かめます。
2. Node-RED の画面（既定では 1880 番ポート）が、インターネットや事業所の広いネットワークから届いていないかを確認します。届くなら、すぐに遮断します。
3. V4.3.4-1 以降へ更新します。すぐにできないときは、Node-RED の認証を有効にするか、不要なら外します。
4. 認証なしで作られた見覚えのないフローが残っていないか、確認します。

未確認の点

• 実際の悪用の有無、公開された攻撃コードの有無。
• Node-RED の HTTP 画面に認証をかける具体的な設定手順（Node-RED の公式案内を参照）。
• V1.1 の変更が、影響範囲の変更かどうか（勧告は「明確化」としています）。
• 本稿は公開情報の読み取りで、再現はしていません。