CVSS 10.0: Kritische Lücke im Siemens SIMATIC IoT2050 Advanced – was Betreiber jetzt tun müssen

Am 25. August 2026 hat CISA die Advisory ICSA-26-237-03 veröffentlicht – eine Neuveröffentlichung der Siemens-ProductCERT-Meldung SSA-834709 vom 11. August 2026. Betroffen ist das SIMATIC IoT2050 Advanced (Artikelnummer 6ES7647-0BA00-1YA2) in allen Versionen vor 4.3.4.1. Der CVSS-v3.1-Score: 10.0, der Höchstwert der Skala.

Was ist das Problem?

Geräte mit installiertem Node-RED auf dem Industrial OS des IoT2050 Advanced besitzen eine HTTP-Schnittstelle, die keine Authentifizierung prüft. Ein nicht authentifizierter Angreifer kann über diese Schnittstelle aus der Ferne eigene Node-RED-Flows anlegen – und darüber beliebigen Code mit maximalen Rechten auf dem darunterliegenden System ausführen. Die Schwachstelle ist als CVE-2026-58115 erfasst und wurde von Siemens ProductCERT selbst gemeldet.

Das Gerät ist kein Nischenprodukt: Siemens listet als betroffene Sektoren Chemie, Fertigung, Energie und Transport, mit weltweitem Einsatz.

Warum das speziell Node-RED-Nutzer trifft

Node-RED ist auf Edge-Gateways beliebt, weil sich damit schnell Integrationen zusammenklicken lassen – MQTT-Broker anbinden, OPC-UA-Tags mappen, Alarme weiterreichen, Daten an ein MES oder ERP übergeben. Genau diese Offenheit macht die Lücke gefährlich: Wer Node-RED ohne zusätzlichen Schutz erreichbar macht, öffnet nicht nur eine Konfigurationsoberfläche, sondern faktisch die volle Kontrolle über das Gerät – inklusive aller angeschlossenen Netzwerke, für die das Gateway als Vermittler dient.

Handlungsempfehlung

1. Sofort prüfen, ob im eigenen Bestand IoT2050-Advanced-Geräte mit Node-RED unterhalb Version 4.3.4.1 laufen.
2. Update auf 4.3.4.1 einspielen – Siemens hat die gepatchte Version bereits bereitgestellt.
3. Bis zum Update: Node-RED-Interface nicht direkt aus dem Feld- oder gar Internet-erreichbaren Netz zugänglich machen. Zugriff ausschließlich über VPN oder lokal.
4. Grundsätzlich: Management- und Engineering-Schnittstellen von Edge-Geräten gehören nicht in dasselbe Netzsegment wie Produktionsanlagen. Segmentierung nach IEC 62443 Zones & Conduits ist kein „Nice-to-have“, sondern genau der Mechanismus, der eine kompromittierte Komponente daran hindert, sich lateral in die restliche Anlage auszubreiten.

Praxis-Bezug

Bei eigenen Edge-Gateway-Projekten gilt bei mir die Regel, dass Management-Interfaces wie Node-RED grundsätzlich nicht von außen erreichbar sind: Das Gateway baut Verbindungen aktiv nach außen auf (outbound-only), nimmt aber keine eingehenden Verbindungen an. Diese Architekturentscheidung – nicht das nachträgliche Patchen – ist der eigentliche Schutz gegen genau diese Klasse von Schwachstelle: Eine fehlende Authentifizierung ist nur dann ein kritisches Risiko, wenn die Schnittstelle überhaupt erreichbar ist.

Die vollständige technische Advisory findet sich bei CISA (ICSA-26-237-03).

Fragen zur Absicherung von Edge-Gateways oder zur Umsetzung von IEC 62443 Zones & Conduits in Ihrer Fertigung? Kontakt aufnehmen.