--- title: "Siemens SIMATIC IoT2050 の CVE-2026-58115: Node-RED の HTTP 画面に認証がなく、認証なしで最高権限のコードを実行される恐れ（CVSS 10.0・V4.3.4-1 で修正）" url: https://n-t-p.io/worldsecurity/articles/siemens-simatic-iot2050-cve-2026-58115-node-red-no-auth-rce lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-58115 --- # Siemens SIMATIC IoT2050 の CVE-2026-58115: Node-RED の HTTP 画面に認証がなく、認証なしで最高権限のコードを実行される恐れ（CVSS 10.0・V4.3.4-1 で修正） > **TL;DR:** Siemens SIMATIC IoT2050（Industrial OS に Node-RED を入れたもの）の V4.3.4-1 より前で、Node-RED の HTTP 画面に認証がなく、認証なしで悪意あるフローを作られ最高権限でコードを実行される恐れ（CVE-2026-58115・CVSS 10.0）。V4.3.4-1 で修正。 **要点** - Siemens SSA-834709（2026-08-11、11/4 に V1.1）: SIMATIC IoT2050 の 4 機種（Advanced・Basic・M.2・SM）で、Industrial OS 上の Node-RED の HTTP 画面に認証がない。 - 認証なしの攻撃者が、システムコマンドを実行できるノードを使った悪意あるフローを作り、機器上で最高権限のコードを実行できる恐れ。CVSS v3.1・v4.0 とも 10.0（PR:N）。 - 修正は V4.3.4-1 以降。回避策は Node-RED のアンインストール、または公式ユーザーガイドに沿った強化。EPSS 0.0089、CISA KEV 掲載なし。severity 案は critical。 - 悪用の有無・認証を有効にする具体手順は未確認。本稿は公開情報の読み取りで、再現はしていない。 産業用 IoT ゲートウェイ **SIMATIC IoT2050**（Siemens）のうち、Industrial OS 上に **Node-RED** を入れたものに、認証なしで OS のコマンドを実行される恐れのある脆弱性（**CVE-2026-58115**）が公表されています。CVSS は v3.1・v4.0 とも **10.0** です。Siemens は 2026-08-11 に勧告 **SSA-834709** を出し、11/4 に影響製品の表記などを改めました（V1.1）。JPCERT/CC は 11/5 に、この勧告を含む Siemens 製品の更新情報（JVNVU#98354779）を出しています。 ## 内容 Siemens の説明によると、対象の機器は Node-RED の HTTP 画面に認証をかけていません。そのため、ネットワークから届く攻撃者が、システムコマンドを実行できる「プログラミング用ノード」に、ログインなしで触れます。攻撃者が悪意のあるフローを作って流すと、機器の上で**最高権限のコード**を実行できる恐れがあります。 ## 影響を受ける製品 Industrial OS を動かし、Node-RED を入れた、次の機器の **V4.3.4-1 より前のすべてのバージョン**です。 - SIMATIC IoT2050 Advanced（6ES7647-0BA00-1YA2） - SIMATIC IoT2050 Basic（6ES7647-0BA00-0YA2） - SIMATIC IoT2050 M.2（6ES7647-0BB00-1YA2） - SIMATIC IoT2050 SM（6ES7647-0CA00-1AA2） Node-RED を入れていない機器が対象かどうかは、勧告に条件として「Node-RED がインストールされている」とあるため、入れていなければ対象外と読めます（Siemens への直接の確認はしていません）。 ## 評価 | 指標 | 内容 | |---|---| | CVE / CWE | CVE-2026-58115 / CWE-306（重要な機能に対する認証の欠如） | | CVSS v3.1 | 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H） | | CVSS v4.0 | 10.0（AV:N/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H） | | 認証 | 不要 | | EPSS（FIRST、11/6） | 0.0089（パーセンタイル 0.60） | | CISA KEV | 掲載なし（11/7 確認） | | NVD の状態 | Awaiting Analysis（登録元は Siemens の ProductCERT） | - 認証なしでネットワークから届き、CVSS が 9 以上のため、当サイトの基準では **critical** を案とします。 - 実際の悪用や、公開された攻撃コードの有無は、勧告に記載がありません（未確認）。 ## 修正と回避策 - 修正: **V4.3.4-1 以降**への更新（Siemens の推奨）。 - 回避策（Siemens の記載）: Node-RED をアンインストールする。または Node-RED の公式ユーザーガイドに沿って強化（認証の有効化など）する。 - 一般的な対策として、機器へのネットワークアクセスを適切な仕組みで守り、Siemens の産業用セキュリティ運用ガイドラインに従うことが勧められています。 ## 利用者が考えられること 1. 自社の IoT2050 のバージョンと、Node-RED の有無を確かめます。 2. Node-RED の画面（既定では 1880 番ポート）が、インターネットや事業所の広いネットワークから届いていないかを確認します。届くなら、すぐに遮断します。 3. V4.3.4-1 以降へ更新します。すぐにできないときは、Node-RED の認証を有効にするか、不要なら外します。 4. 認証なしで作られた見覚えのないフローが残っていないか、確認します。 ## 未確認の点 - 実際の悪用の有無、公開された攻撃コードの有無。 - Node-RED の HTTP 画面に認証をかける具体的な設定手順（Node-RED の公式案内を参照）。 - V1.1 の変更が、影響範囲の変更かどうか（勧告は「明確化」としています）。 - 本稿は公開情報の読み取りで、再現はしていません。 ## 出典 - [SSA-834709: Missing Authentication Vulnerability in Node-RED on SIMATIC IoT2050](https://cert-portal.siemens.com/productcert/html/ssa-834709.html) — Siemens ProductCERT - [CVE-2026-58115（NVD）](https://nvd.nist.gov/vuln/detail/CVE-2026-58115) — NIST NVD - [JVNVU#98354779 Siemens製品に対するアップデート（2026年11月）](https://jvn.jp/vu/JVNVU98354779/) — JPCERT/CC・JVN - [EPSS（CVE-2026-58115、11/6）](https://api.first.org/data/v1/epss?cve=CVE-2026-58115) — FIRST - [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/siemens-simatic-iot2050-cve-2026-58115-node-red-no-auth-rce