西门子工业边缘管理应用曝 Node2Shell 漏洞，CISA 已列入在野利用清单

西门子ProductCERT于10月30日发布SSA-443410与SSA-898633两份安全公告，披露编号CVE-2026-111497的“Node2Shell”漏洞，CVSS v3.1评分均为9.8。漏洞源于Google Brotli解码器的缓冲区溢出，远程未认证攻击者可通过特制的Brotli压缩流破坏内存、泄露信息、造成拒绝服务，甚至可能执行代码。

受影响范围包括Industrial Edge Hub、Industrial Edge Management Cloud及七款Industrial Edge管理应用，以及运行PAN-OS的RUGGEDCOM APE1808设备。美国网络安全和基础设施安全局（CISA）已于10月27日将该CVE列入已知被利用漏洞目录。

受影响产品范围

SSA-443410列出的受影响对象包括Industrial Edge Hub、Industrial Edge Management Cloud的全部版本，以及七款Industrial Edge管理应用：Cloud Connector Configurator、Common Configurator on Device、Common Configurator on IEM、Data Flow Monitoring、Databus Configurator、Edge OPC UA Server Configurator和Flow Creator Configurator。

西门子对OT团队的提示是，需要先确认现场是否部署了上述管理应用，并将其与未安装管理应用的IEM部署区分开；西门子表示，后者不使用也不暴露受影响功能。

RUGGEDCOM APE1808被定位为面向恶劣工业环境的公用事业级应用托管平台，用于边缘计算与网络安全，因此受影响部署与OT及关键基础设施运营方直接相关。

西门子的修复安排

针对云服务，西门子表示Industrial Edge Management Cloud与Industrial Edge Hub已分别自10月28日和10月29日起完成修复，用户无需采取操作。

对于公告列出的七款管理应用，公告发布时尚无可用修复。西门子建议用户按产品对应的停止、卸载以及防火墙或WAF缓解措施处置。

在PAN-OS一侧，西门子要求客户升级到对应的可用PAN-OS版本，并就补丁信息联系支持。Palo Alto Networks表示已提供修复版本，同时给出关闭Brotli检查的临时规避方案。

PAN-OS侧的暴露条件

Palo Alto Networks指出，PAN-OS数据平面要暴露于该漏洞，需要同时启用Brotli压缩流量检查与TLS/SSL解密。换言之，仅拥有APE1808设备并不等于已经暴露。

因此处置的第一步是核对PAN-OS版本，并确认上述两项设置是否开启。若已开启，应按厂商建议升级，或采用关闭Brotli检查的规避措施。

OT环境的风险与应对

从OT角度看，风险集中在Industrial Edge的管理平面。运营方应梳理Industrial Edge Hub、IEM Cloud或IEM实例中是否安装了被点名的管理应用，并优先处理对外暴露的IEM接口，限制网络访问。

采用防火墙或WAF规则、停止或移除应用等缓解手段时，需要与运营团队协调，因为相关操作可能影响边缘管理功能。CISA的收录应触发基于风险的加快复核，但收录本身并不证明某套西门子部署已被利用。

对使用APE1808的运营方而言，可用性与完整性风险值得评估，处置重点仍是确认Brotli检查与TLS/SSL解密状态，再按厂商建议更新或规避。

OT环境的风险与应对

该漏洞的根源在于Google Brotli解码器存在缓冲区溢出，攻击者无需通过身份认证即可远程利用特制的Brotli压缩流触发问题。

按西门子的描述，成功利用可能造成内存破坏、信息泄露和拒绝服务，并存在执行代码的可能。两份公告给出的CVSS v3.1评分均为9.8，SSA-898633另给出CVSS v4.0评分9.2。

这一收录说明该漏洞已被实际利用，但并不意味着某套西门子部署已被攻破。

要点

• 漏洞编号为CVE-2026-111497，代号Node2Shell
• 两份公告的CVSS v3.1评分均为9.8
• 成因是Google Brotli解码器缓冲区溢出
• 七款Industrial Edge管理应用受影响
• CISA于10月27日将其列入已知被利用漏洞目录