Seguir A Siemens confirmou a exploração ativa de uma vulnerabilidade de carga lateral de DLL de alta severidade no Siemens Software Center, um aplicativo de desktop usado para baixar, instalar, ativar e atualizar software da Siemens. Identificada como CVE-2026-110936 e classificada como 8.4 conforme CVSS v4.0, a falha decorre de um caminho de busca de DLL não controlado e pode levar à execução de código arbitrário com os privilégios da aplicação afetada.
A vulnerabilidade já foi armada em atividades do ClickFix ligadas pela Siemens à plataforma de entrega Romulus. Em ataques observados, atores ameaçadores emparelhavam uma cópia legítima e assinada digitalmente do Siemens Software Center com arquivos DLL controlados por atacantes, em vez de modificar o próprio executável da Siemens. A Siemens enfatizou que seus sistemas, produtos e canais de atualização oficiais não foram violados.
As equipes de segurança que buscam conteúdo de detecção para CVE-2026-110936 podem utilizar a Plataforma de Inteligência de Detecção Nativa em IA da SOC Prime para fortalecer a visibilidade sobre a exploração de vulnerabilidades, carga lateral de DLL, execução suspeita de processo e comportamento relacionado a pós-comprometimento.
Clique Explorar Detecções para acessar conteúdo de detecção relevante e procurar por atividades maliciosas emergentes. Para detectar a exploração da CVE-2026-110936 e padrões de ataque relacionados, os defensores devem priorizar análises baseadas em comportamento em vez de depender exclusivamente de hashes do executável assinado da Siemens.
As detecções da SOC Prime podem ser aplicadas em várias tecnologias SIEM, EDR e Data Lake e alinhadas ao framework MITRE ATT&CK®. As equipes de segurança também podem usar as capacidades do Prime Architect e Uncoder AI para transformar inteligência de ameaças fresca e indicadores em consultas de caça, refinar a lógica de detecção e acelerar os fluxos de trabalho de engenharia de detecção.
Análise da CVE-2026-110936
A CVE-2026-110936 afeta versões do Siemens Software Center anteriores à 4.0.9.8. A Siemens classifica a vulnerabilidade como CWE-427, Elemento de Caminho de Busca Não Controlado. A aplicação afetada pode procurar um local restrito inadequadamente para arquivos DLL, potencialmente permitindo que um atacante local autenticado coloque uma biblioteca especialmente criada em um diretório procurado e execute código com os privilégios do Siemens Software Center.
A campanha ativa demonstra como essa fraqueza pode ser incorporada em uma cadeia de malware dirigida por engenharia social. Os atacantes distribuíram um executável genuíno do Siemens Software Center com uma assinatura digital válida junto com arquivos DLL maliciosos. A Siemens informou que a versão 3.5.8.7, a última versão no momento dos ataques observados, carregava arquivos auxiliares localizados ao lado do executável sem validá-los primeiro.
Como resultado, o executável legítimo da Siemens em si não foi modificado. Em vez disso, a funcionalidade maliciosa residia dentro de arquivos DLL fornecidos por atacantes que eram carregados quando o Software Center era iniciado. Essa abordagem permite que adversários abusem da confiança associada a uma aplicação legitimamente assinada ao executar código controlado por atacantes.
O Hacker News relata que a cadeia de ataque usava msiexec.exe para iniciar AllMyBasic.msi, que posteriormente executava SiemensSoftwareCenter.exe. A Siemens identificou archive.dll como um dos componentes maliciosos associados à campanha.
A Siemens atribuiu a atividade ao Romulus, uma operação de entrega multi-plataforma ClickFix. Ataques ClickFix tipicamente apresentam às vítimas prompts enganosos, como CAPTCHA ou instruções de verificação falsas, que convencem os usuários a copiar e executar comandos maliciosos eles mesmos. Atividade relacionada ao Romulus também foi observada entregando LegionLoader e abusando de aplicativos assinados legitimamente de outros fornecedores para carga lateral de DLL.
Os relatórios fornecidos não descrevem uma PoC pública para CVE-2026-110936. No entanto, a disponibilidade do proof-of-concept é menos importante neste caso porque a Siemens já confirmou a exploração da vulnerabilidade em ataques no mundo real.
Os IOCs da CVE-2026-110936 publicados pela Siemens incluem 96.62.218[.]59, usado para hospedagem de payloads e comando e controle; wizardexpensive[.]com, também associado à hospedagem de payloads e C2; e 2.27.248[.]127, que foi usado para distribuir o pacote malicioso AllMyBasic.msi.
Os detalhes publicados para a CVE-2026-110936 também destacam vários artefatos de host que podem ajudar defensores a identificar sistemas comprometidos. Esses incluem SiemensSoftwareCenter.exe executando de AppDataLocalPrograms, uma pasta SM Software Provisioning Service, arquivos nomeados activate.bak ou statinfosta.DB ao lado do executável, e um diretório FTSuite contendo ftc.uml sob AppDataLocal.
Porque o binário da Siemens usado pelos atacantes é genuíno e assinado digitalmente, a reputação tradicional de arquivos sozinha pode falhar em expor o ataque. As equipes de segurança devem, em vez disso, correlacionar a localização do executável, o processo pai, arquivos DLL adjacentes, artefatos de persistência e conexões de rede de saída.
Mitigação da CVE-2026-110936
A Siemens resolveu a vulnerabilidade na versão 4.0.9.8 do Software Center. Todas as versões anteriores são consideradas afetadas, e as instalações existentes estão projetadas para receber a versão corrigida automaticamente quando a aplicação é iniciada. As organizações devem verificar se os endpoints implantados estão rodando a versão 4.0.9.8 ou mais recente, ao invés de assumir que a atualização automática já foi concluída.
As organizações também devem garantir que o software da Siemens seja obtido exclusivamente por meio das fontes oficiais da Siemens. A empresa declara que o pacote malicioso envolvido na campanha foi distribuído fora de sua infraestrutura oficial e que nenhum produto ou canal de atualização da Siemens foi comprometido.
As equipes de segurança devem bloquear a infraestrutura maliciosa conhecida em resolvedores DNS, proxies e firewalls e buscar retrospectivamente a telemetria de endpoints e redes por conexões anteriores. Os defensores devem especificamente procurar por SiemensSoftwareCenter.exe executando de AppDataLocalPrograms, particularmente quando iniciado via msiexec.exe, e inspecionar por arquivos DLL inesperados colocados ao lado de executáveis da Siemens fora dos diretórios de instalação normais.
O monitoramento baseado em hash de SiemensSoftwareCenter.exe sozinho é insuficiente porque o arquivo abusado pelos atacantes é legítimo. A lógica de detecção deve, em vez disso, focar em caminhos de execução anômalos, processos pai ou filho suspeitos, DLLs adjacentes inesperadas, mecanismos de persistência e comunicações com infraestrutura maliciosa conhecida.
Se indicadores de comprometimento forem identificados, isole o endpoint afetado, termine o processo malicioso, remova entradas de inicialização não autorizadas ou tarefas agendadas, e redefina senhas potencialmente expostas. A Siemens também recomenda revisar logs históricos para conexões com infraestrutura de campanha ativas e anteriormente usadas.
FAQ
O que é CVE-2026-110936 e como funciona?
CVE-2026-110936 é uma vulnerabilidade de carga lateral de DLL de alta severidade no Siemens Software Center. A aplicação pode carregar DLLs de um caminho de busca não controlado, potencialmente permitindo que um atacante autenticado localmente coloque uma DLL criada em um diretório procurado e execute código malicioso com os privilégios da aplicação afetada. Em ataques ClickFix observados, atores de ameaça empacotaram um executável Siemens legítimo assinado juntamente com DLLs maliciosas para que a aplicação confiável carregasse código controlado por atacantes.
Quando a CVE-2026-110936 foi descoberta pela primeira vez?
As fontes fornecidas não informam a data exata em que a vulnerabilidade foi descoberta inicialmente. A Siemens divulgou publicamente a falha através do aviso SSA-580366 em 15 de outubro de 2026, e creditou o pesquisador da Huntress Labs, Jose Oregon, pelo relatório. A Siemens posteriormente confirmou a exploração ativa em 19 de outubro de 2026.
Qual é o impacto da CVE-2026-110936 nos sistemas?
A exploração bem-sucedida pode resultar na execução de código arbitrário com os privilégios do Siemens Software Center. Na campanha observada, os atacantes foram capazes de abusar de uma aplicação confiável assinada digitalmente como um transportador para a execução de DLLs maliciosas, tornando mais difícil distinguir a atividade maliciosa do comportamento de software legítimo.
A CVE-2026-110936 ainda pode me afetar em 2026?
Sim. As versões do Siemens Software Center anteriores à 4.0.9.8 permanecem vulneráveis. O risco é particularmente significativo porque a exploração ativa já foi confirmada, e os atacantes demonstraram que o executável legítimo da Siemens pode ser incorporado em cadeias de entrega de malware dirigidas pelo ClickFix.
Como posso me proteger da CVE-2026-110936?
Atualize o Siemens Software Center para a versão 4.0.9.8 ou posterior e verifique se a versão corrigida está realmente instalada. Baixe software da Siemens apenas de fontes oficiais, bloqueie a infraestrutura maliciosa publicada e procure por execuções suspeitas de SiemensSoftwareCenter.exe a partir de diretórios graváveis por usuários. As organizações também devem inspecionar arquivos DLL próximos, atividades incomuns de msiexec.exe, artefatos de persistência inesperados e conexões de rede históricas. Se for suspeitado comprometimento, isole o endpoint e siga os procedimentos de resposta a incidentes estabelecidos.
