シーメンスIoT2050にCVE-2026-58115——未認証で遠隔から任意コード実行可能

公開日：2026年11月4日文：クリスタルメソッド編集部監修：河合継（代表取締役）

SIMATIC IoT2050 Advanced 脆弱性 CVE-2026-58115 の概要

2026年8月11日、Siemensは産業用IoTゲートウェイ「SIMATIC IoT2050 Advanced」に深刻な脆弱性が存在することをCVEデータベース（cve.org）に登録した。CVE識別子はCVE-2026-58115、CVSS 3.1およびCVSS 4.0の双方でスコアは最高値の10（CRITICAL）と評価されている。採番元CNAはSiemens自身であり、自社製品の欠陥として公式に認定している。

この脆弱性は、SIMATIC IoT2050 Advanced（型番 6ES7647-0BA00-1YA2）にNode-REDをインストールしたIndustrial OS環境において、Node-REDのHTTPインターフェースが認証を強制していないことに起因する。認証不備の欠陥として、CWEはCWE-306（Missing Authentication for Critical Function）に分類される。ネットワーク越しにアクセスできる未認証の攻撃者が、システムコマンドを実行可能なプログラミングノードに直接到達できる構造になっており、悪意のあるフローを作成することで基盤となるサーバー上で最大権限により任意のコードを実行できる可能性があるとSiemensは説明している（cve.org, CVE-2026-58115）。

影響を受けるバージョンは、Node-REDをインストールしたIndustrial OSを実行するV4.3.4.1未満の全バージョンだ。

図1: CVE-2026-58115 の攻撃経路。未認証の遠隔攻撃者がNode-REDのHTTPインターフェースへ直接アクセスし、プログラミングノードを通じて最大権限での任意コード実行に至る経路を示す。

CVE-2026-58115 が示すリスクの構造——なぜ深刻度10なのか

CVSSスコアが3.1・4.0の双方で10に達した背景には、この脆弱性の攻撃特性が全項目で最悪値を取っていることがある。攻撃経路はネットワーク（AV:N）、複雑度は低（AC:L）、特権不要（PR:N）、ユーザー操作不要（UI:N）——すなわち、ネットワーク到達性さえあれば、事前知識も認証情報も一切なしに攻撃が成立し得る構造だ。機密性・完全性・可用性への影響はいずれも「High」であり、スコープは変更（S:C）と評価されている。これはSiemensがCNAとして採番・評価した値であり、NVDやCISAが独自に評価した値とは異なる可能性がある点に留意したい。

問題の核心はNode-REDのHTTPインターフェースに認証が存在しないことだ。Node-REDはフロープログラミング環境であり、シェルコマンドやスクリプトを実行できるノードを標準で備える。認証がなければ、このノードへの到達は外部から制限なく行える。結果として、機器を管理するサーバーの基盤上で最大権限による任意コードの実行が可能になる——これがSiemensの公式記録（cve.org, CVE-2026-58115）が示す評価の根拠だ。

EPSS（Exploit Prediction Scoring System）による悪用確率の統計的推定値は2026年11月3日時点で0.0089（パーセンタイル 0.594）とされている。これは過去の類似脆弱性のパターンを基にした確率推定であり、実際に悪用されているという証拠ではない。現時点でCISA KEV（Known Exploited Vulnerabilities Catalog）への掲載はなく、実際に悪用されているという公式記録は確認できていない。ただし、スコアが示す技術的リスクの深刻さは数値の通りであり、過小評価すべき理由はない。

次に読む：OTセキュリティ人材の育成にAIをどう活かす？

OTセキュリティ×ホワイトハッカー育成にAIを活かす実践的アプローチ

SIMATIC IoT2050 Advanced 脆弱性 CVE-2026-58115 の影響範囲と日本の現場への意味

SIMATIC IoT2050は、Siemensが提供する産業用IoTゲートウェイだ。工場のPLC・センサーとクラウド・上位システムをつなぐ用途で、製造業・インフラ・エネルギー分野に広く導入されている。日本においても、スマートファクトリー推進やOT/ITコンバージェンスの流れのなかで同機器を採用している事業者は少なくないと考えられる。

今回の脆弱性が問題になる条件は明確だ。型番6ES7647-0BA00-1YA2の機器に、Node-REDをインストールしたIndustrial OSを実行しており、かつバージョンがV4.3.4.1未満であること——この3条件が重なる環境が対象だ。Node-REDはデフォルト構成に含まれる場合もあれば、後から追加した環境もある。運用担当者が自らの機器の構成を正確に把握していないケースは産業現場では珍しくなく、まず機器の構成確認から着手する必要がある。

OT（運用技術）環境においてこの種の欠陥が持つ意味は、IT環境のそれと性質が異なる。任意コード実行が成功した場合、工場の生産設備に接続されたゲートウェイを通じて制御系への影響が連鎖する可能性を否定できない。ITシステムの情報漏えいにとどまらず、物理的なプロセスや機器の停止・誤動作につながるリスクがあることが、産業用IoT機器の脆弱性の本質的な深刻さだ。

一方、攻撃が成立するためにはNode-REDのHTTPインターフェースへのネットワーク到達性が前提となる。インターネットに直接さらされていない閉域網・工場内ネットワークに限定された環境では、外部からの直接攻撃経路は限定されうる。ただし、同一ネットワークセグメント上の端末が侵害された場合の内部的な悪用や、VPN・リモートアクセス経路経由の到達については別途検討が必要だ。「閉域網だから安全」という前提のみに依拠した判断には慎重であるべきだ。

項目	内容
CVE識別子	CVE-2026-58115
対象製品	Siemens SIMATIC IoT2050 Advanced（6ES7647-0BA00-1YA2）
対象構成	Node-REDをインストールしたIndustrial OS
影響を受けるバージョン	V4.3.4.1未満の全バージョン
CVSS 3.1スコア	10（CRITICAL）／評価者: Siemens（CNA）
CVSS 4.0スコア	10（CRITICAL）／評価者: Siemens（CNA）
欠陥の種類（CWE）	CWE-306: Missing Authentication for Critical Function
攻撃経路	ネットワーク経由・特権不要・ユーザー操作不要
影響	機密性・完全性・可用性すべてHigh、スコープ変更あり
EPSS（2026-11-03時点）	0.0089（統計的推定値。悪用の確証ではない）
CISA KEV掲載	なし（2026-11-04時点）
CVE公開日	2026年8月11日（最終更新: 2026年8月12日）
CNA（採番元）	Siemens
修正版・公式回避策	CVE公式記録への記載なし（Siemens公式告知を直接参照のこと）

今やること——CVE-2026-58115 への対応方針

現時点でCVE公式記録（cve.org）に修正版・公式回避策の記載はない。ベンダー告知の本文が取得できていないため、修正版の提供状況・具体的な回避策の名称はSiemensのProductCERT（https://www.siemens.com/cert）が公開するSSA（Siemens Security Advisory）文書を直接参照して確認することが不可欠だ。

対応として最初に行うべきことは次の2点だ。

第一に、自社で稼働しているSIMATIC IoT2050 Advancedがこの脆弱性の対象構成（Node-RED搭載・V4.3.4.1未満）に該当するかを確認する。型番・インストール済みコンポーネント・実行バージョンを機器ごとに把握し、影響範囲を特定する。

第二に、対象構成の機器が存在する場合は、SiemensのProductCERTが公開する公式告知を参照し、修正版が提供されていればV4.3.4.1以上へ更新する。修正版が未提供の場合は、公式告知に示された回避策に従う。公式の回避策が示されていない場合は、その旨をベンダーへ問い合わせたうえで、ネットワーク分離・アクセス制御といった環境側の補完措置を検討する——ただしこれらは公式回避策ではない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

この脆弱性から読み取るOTセキュリティの論点

CVE-2026-58115が浮き彫りにするのは、産業用IoT機器に後から追加されるソフトウェアコンポーネントのセキュリティ設定が、機器本体の安全設計と一体で管理されていない場合に生じる典型的な問題だ。Node-REDは元来、プロトタイピングや開発用途を念頭に設計されたフロープログラミング環境であり、認証設定はデフォルトでは必ずしも有効でない場合がある。これを産業環境に展開する際に認証を有効化しないまま稼働させると、今回のような欠陥が生まれる。

「導入した機器の内部にどのようなソフトウェアが動いているか」を継続的に把握するSBOM（Software Bill of Materials）管理と、OT機器を含む脆弱性情報の定期的な追跡体制を整備することの重要性は、この事例が改めて示している。日本では製造業を中心にOT環境のサイバーセキュリティへの関心が高まっているが、IT系のパッチ管理プロセスをOT側にそのまま適用できないケースも多い。稼働中の生産設備への影響を考慮した段階的なアップデート計画と、メーカー・インテグレーターとの連携体制を事前に構築しておくことが、こうした事態への実務的な備えになる。

CISA KEV未掲載・EPSSスコアが示す悪用確率の現時点での推定値を根拠に対応を先送りする判断もあり得る。しかしCVSSスコア10という技術的リスクの評価と、産業制御系への影響可能性を踏まえれば、少なくとも自社環境の対象有無を早期に確認することは合理的な判断だ。対象外であれば問題はなく、対象であればベンダーの告知に従った対応を速やかに進める——このシンプルな優先順位で動くことが現実的だ。

参考文献