เมื่อวันที่ 3 พฤศจิกายน 2026 The Hacker News รายงานว่าบริษัทความปลอดภัย VulnCheck พบผู้โจมตีใช้ช่องโหว่ CVE-2026-58115 บนเกตเวย์อุตสาหกรรม Siemens SIMATIC IoT2050 ที่ติดตั้ง Node-RED (เครื่องมือเขียนโปรแกรมแบบลากต่อกล่อง นิยมใช้รับส่งข้อมูลเซ็นเซอร์และ MQTT) ช่องโหว่นี้ได้คะแนนความรุนแรง CVSS 10.0 เต็ม และ Siemens ออกประกาศแก้ไขไปตั้งแต่ สิงหาคม 2026 แต่ตอนนี้มีการโจมตีจริงแล้ว
เกิดอะไรขึ้น
ต้นเหตุคือหน้า HTTP ของ Node-RED บนอุปกรณ์ ไม่มีการยืนยันตัวตน ผู้โจมตีจากระยะไกลจึงสร้าง flow ใหม่และสั่งคำสั่งระบบปฏิบัติการด้วยสิทธิ์สูงสุดได้ทันที
- รุ่นที่ได้รับผลกระทบ: SIMATIC IoT2050 Advanced ที่รัน Industrial OS พร้อม Node-RED เวอร์ชันต่ำกว่า V4.3.4.1 (ประกาศ Siemens SSA-834709)
- วันที่ 30 ตุลาคม 2026 ระบบล่อ (decoy) ของ VulnCheck จับการโจมตีครบทั้งกระบวนการได้
- รูปแบบที่ 1: flow ดาวน์โหลดไฟล์บอตเน็ตด้วย wget แล้วเก็บไว้ที่
/dev/shm/.bก่อนรัน - รูปแบบที่ 2: ดาวน์โหลดสคริปต์ 2 ขั้น ไปวางไฟล์ที่
/tmp/.kworker(นักวิจัยยังเก็บตัวไฟล์มาวิเคราะห์ไม่ได้) - รูปแบบที่ 3 ที่น่ากลัวที่สุด: ==ฝัง flow ที่เป็น backdoor รับคำสั่งผ่าน HTTP endpoint เช่น
/cmdซึ่งอยู่รอดแม้รีบูตเครื่อง== เพราะถูกเก็บเป็น flow ของ Node-RED เอง ไม่ใช่โปรแกรมในหน่วยความจำ
ตอนนี้การโจมตีที่ยืนยันได้มาจากระบบล่อของ VulnCheck ยังไม่ทราบว่ามีอุปกรณ์จริงถูกเจาะไปกี่เครื่อง และตามรายงานของ PBX Science ช่องโหว่นี้ยังไม่อยู่ในรายการ KEV ของ CISA ณ เวลาที่เขียน
วิธีแก้ที่ Siemens แนะนำ
อัปเดตเป็น V4.3.4.1 ขึ้นไป ถ้ายังอัปเดตไม่ได้ให้ถอน Node-RED ออก หรือเปิด HTTPS ใส่การยืนยันตัวตนให้หน้า editor, admin API, HTTP node และ Dashboard และห้ามเปิด Node-RED ให้เข้าถึงได้จากอินเทอร์เน็ต สำคัญคือ การแพตช์ไม่ได้ลบ backdoor ที่ฝังไปแล้ว ต้องตรวจ flow ที่ deploy อยู่ว่ามี exec node หรือ HTTP endpoint แปลก ๆ หรือไม่
สำหรับคนออกแบบ IoT product
ถ้าอุปกรณ์ของคุณใช้ Node-RED, หน้าเว็บตั้งค่า หรือ REST API ฝังอยู่ในเครื่อง ข่าวนี้คือตัวอย่างชัดว่า "ค่าเริ่มต้นที่ไม่มีรหัสผ่าน" ทำให้ทั้งสินค้าพังได้ ให้ตั้งค่าโรงงานเป็นแบบต้องยืนยันตัวตนเสมอ และบังคับตั้งรหัสผ่านเฉพาะเครื่องตอนติดตั้งครั้งแรก อย่าให้ฟีเจอร์ที่รันคำสั่งระบบได้ (เช่น exec node) เปิดใช้โดยค่าเริ่มต้น วางระบบ OTA (อัปเดตเฟิร์มแวร์ผ่านเครือข่าย) ที่ลูกค้ากดใช้ได้ง่าย เพราะแพตช์ออกตั้งแต่สิงหาคมแต่ยังมีเครื่องเสี่ยงอยู่ และควรมีวิธีให้ลูกค้าตรวจได้ว่าค่าคอนฟิกถูกแก้ไขหรือไม่ ทั้งหมดนี้ตรงกับสิ่งที่กฎอย่าง EU Cyber Resilience Act และ UK PSTI กำลังบังคับ
ถ้าคุณใช้ Raspberry Pi หรือเกตเวย์ Linux ที่รัน Node-RED ในโปรเจกต์ลูกค้า ให้ตรวจวันนี้ว่าตั้ง adminAuth แล้วหรือยัง และพอร์ต 1880 ไม่ได้เปิดออกอินเทอร์เน็ต
CVE-2026-58115 (CVSS 10.0) บน Siemens IoT2050 ถูกโจมตีจริงผ่าน Node-RED ที่ไม่มีการยืนยันตัวตน ผู้โจมตีฝัง backdoor เป็น flow ที่รอดการรีบูต บทเรียน: ปิดค่าเริ่มต้นที่ไม่ปลอดภัย และวางแผนอัปเดตกับตรวจสอบคอนฟิกตั้งแต่วันออกแบบ
อ่านซีรีส์ ออกแบบ IoT Product ตั้งแต่ศูนย์จนขายได้