一句话先说清：满分漏洞，工业设备，真实利用已经出现
Siemens Node-RED 漏洞 CVE-2026-58115，CVSS 满分 10.0，已观测到在野利用。受影响的是西门子 SIMATIC IoT2050 Advanced（型号 6ES7647-0BA00-1YA2），跑 Industrial OS 且装了 Node-RED、版本在 V4.3.4.1 之前。问题是 Node-RED 的 HTTP 接口缺少认证（CWE-306）：能连上这个接口的未登录远程攻击者可以部署一个流程，以最高权限执行代码。本文只讲防御：影响范围、修复版本与自查步骤，不涉及任何利用细节。
利用证据和它的限度
VulnCheck 的蜜罐网络在 10 月 30 日首次抓到尝试，到 11 月 1 日同一个来源已有 16 次尝试，投放的是 Linux 机器人载荷，有的报告还提到基于流程的持久后门。但 VulnCheck 自己的定性是机会主义的大规模扫描，不是针对性攻击；而且它没有拿到机器人载荷本体，所以载荷跑起来之后的行为是未知的。截至 11 月 3 日，这个漏洞进了 VulnCheck 自己的已利用清单，但没有进 CISA KEV，别把它当成 KEV 条目。
修复与加固
修复路径西门子早就给了（SSA-834709 是 8 月 11 日的公告，CISA 的 ICSA-26-237-03 是 8 月 25 日，都早于这次利用观测）：升到 Industrial OS V4.3.4.1 或更新，或者干脆卸掉 Node-RED；如果确实要用，就开 adminAuth 并上 HTTPS。还有一个值得记的配置教训：即便不在西门子这个 CVE 的范围内，一个没开 adminAuth 的独立 Node-RED 实例同样暴露——暴露的编辑器本身就是问题，不只限于某个型号。
自查清单
- 先确认设备与版本：SIMATIC IoT2050 Advanced 且 Industrial OS 低于 V4.3.4.1 的，立即升级或移除 Node-RED。
- 再确认访问控制：Node-RED 编辑器是否暴露在公网，是否开了 adminAuth、是否走了 HTTPS；三项缺一都算暴露。
- 检查流程里有没有多出来的 exec 节点或非预期的流程，发现异常的按“已被入侵”处理并重建。
- 工业设备还要注意：升级前确认维护窗口与备份，升级后验证控制流程正常，避免修复本身造成停机。
- 托管用户注意：托管建站与云平台一般由平台统一修复，到平台公告里确认状态即可。
最后澄清一个常见误读：没有进 CISA KEV 不等于没有风险——蜜罐已经抓到真实利用尝试，暴露的编辑器应当立即处理，而不是等 KEV 背书。