Folgen Siemens hat die aktive Ausnutzung einer schwerwiegenden DLL-Sideloading-Schwachstelle im Siemens Software Center, einer Desktop-Anwendung zum Herunterladen, Installieren, Aktivieren und Aktualisieren von Siemens-Software, bestätigt. Verfolgt als CVE-2026-110936 und mit 8,4 unter CVSS v4.0 bewertet, resultiert der Fehler aus einem unkontrollierten DLL-Suchpfad und kann zur Ausführung beliebigen Codes mit den Rechten der betroffenen Anwendung führen.
Die Schwachstelle wurde bereits in ClickFix-Aktivitäten, die Siemens der Romulus-Delivery-Plattform zuschreibt, genutzt. Bei beobachteten Angriffen koppeln Bedrohungsakteure eine legitime, digital signierte Kopie des Siemens Software Centers mit böswillig kontrollierten DLL-Dateien anstelle der Modifikation der Siemens-Programmdatei selbst. Siemens betonte, dass seine Systeme, Produkte und offiziellen Update-Kanäle nicht kompromittiert wurden.
Sicherheitsteams, die nach CVE-2026-110936-Erkennungsinhalten suchen, können die AI-Native Detection Intelligence Platform von SOC Prime nutzen, um die Sichtbarkeit gegenüber der Ausnutzung von Schwachstellen, DLL-Sideloading, verdächtigen Prozessa usführungen und verwandtem post-kompromittierten Verhalten zu erhöhen.
Klicken Detektionen erkunden um relevante Erkennungsinhalte zu erhalten und nach neuen bösartigen Aktivitäten zu suchen. Zur Erkennung der Ausnutzung von CVE-2026-110936 und verwandter Angriffsmuster sollten Verteidiger verhaltensbasierte Analysen priorisieren, anstatt sich ausschließlich auf Hashes des signierten Siemens-Programms zu verlassen.
SOC Prime-Erkennungen können über mehrere SIEM-, EDR- und Data Lake-Technologien hinweg angewendet und mit dem MITRE ATT&CK®-Framework ausgerichtet werden. Sicherheitsteams können auch die Fähigkeiten von Prime Architect und Uncoder AI nutzen, um neue Bedrohungsinformationen und Indikatoren in Jagdanfragen zu verwandeln, die Erkennungslogik zu verfeinern und den Arbeitsablauf der Erkennungstechnik zu beschleunigen.
Analyse von CVE-2026-110936
CVE-2026-110936 betrifft Siemens Software Center-Versionen früher als 4.0.9.8. Siemens klassifiziert die Schwachstelle als CWE-427, Unkontrolliertes Suchpfadelement. Die betroffene Anwendung kann an einem unzureichend eingeschränkten Ort nach DLL-Dateien suchen, was einem lokal authentifizierten Angreifer möglicherweise erlaubt, eine speziell gestaltete Bibliothek in einem durchsuchten Verzeichnis zu platzieren und Code mit den Rechten des Siemens Software Centers auszuführen.
Die aktive Kampagne zeigt, wie diese Schwachstelle in eine durch Social Engineering angetriebene Malware-Kette integriert werden kann. Angreifer verteilten ein echtes Siemens Software Center-Programm, das eine gültige digitale Signatur trägt, zusammen mit bösartigen DLL-Dateien. Siemens erklärte, dass die Version 3.5.8.7, die zum Zeitpunkt der beobachteten Angriffe die neueste Ausgabe war, Hilfsdateien, die sich neben dem Programm befanden, ohne vorherige Validierung geladen hat.
Infolgedessen wurde das legitime Siemens-Programm nicht geändert. Stattdessen befand sich die bösartige Funktionalität in von Angreifern bereitgestellten DLL-Dateien, die geladen wurden, als das Software Center gestartet wurde. Dieser Ansatz ermöglicht es Gegnern, das Vertrauen in eine legitim signierte Anwendung auszunutzen, während sie Angreifer-kontrollierten Code ausführen.
The Hacker News berichtet, dass die Angriffsserie msiexec.exe zum Start von AllMyBasic.msi verwendete, das anschließend SiemensSoftwareCenter.exe ausführte. Siemens identifizierte archive.dll als eine der bösartigen Komponenten, die mit der Kampagne verbunden sind.
Siemens hat die Aktivität Romulus, einer plattformübergreifenden ClickFix-Delivery-Operation, zugeschrieben. ClickFix-Angriffe präsentieren den Opfern typischerweise irreführende Aufforderungen, wie gefälschte CAPTCHA- oder Verifizierungsanweisungen, die Benutzer dazu verleiten, bösartige Befehle selbst zu kopieren und auszuführen. Verbundene Romulus-Aktivitäten wurden auch beobachtet, indem sie LegionLoader lieferten und legitime signierte Anwendungen anderer Anbieter für DLL-Sideloading missbrauchten.
Die bereitgestellten Berichte beschreiben keinen öffentlichen CVE-2026-110936 PoC. Der Verfügbarkeit eines Proof-of-Concepts kommt jedoch eine untergeordnete Bedeutung zu, da Siemens die Ausnutzung der Schwachstelle in realen Angriffen bereits bestätigt hat.
Zu von Siemens veröffentlichten IOCs für CVE-2026-110936 gehören 96.62.218[.]59, das zum Hosting von Nutzlasten und zur Befehls- und Kontrollkommunikation genutzt wurde; wizardexpensive[.]com, das ebenfalls mit dem Hosting von Nutzlasten und C2 in Verbindung steht; und 2.27.248[.]127, das zum Verteilen des bösartigen AllMyBasic.msi-Pakets genutzt wurde.
Die veröffentlichten Details zu CVE-2026-110936 heben auch mehrere Host-Artefakte hervor, die Verteidigern helfen können, kompromittierte Systeme zu identifizieren. Dazu gehören SiemensSoftwareCenter.exe, das von AppDataLocalPrograms gestartet wird, ein SM Software Provisioning Service-Ordner, Dateien mit den Namen activate.bak oder statinfosta.DB neben dem Programm und ein FTSuite-Verzeichnis mit ftc.uml unter AppDataLocal.
Da die von den Angreifern verwendete Siemens-Programmdatei echt und digital signiert ist, kann lautes Dateirenommee allein den Angriff nicht aufdecken. Sicherheitsteams sollten stattdessen den Speicherort des Programms, den übergeordneten Prozess, angrenzende DLL-Dateien, Persistenzartefakte und ausgehende Netzwerkverbindungen korrelieren.
Minderung von CVE-2026-110936
Siemens hat die Schwachstelle in Software Center Version 4.0.9.8 behoben. Alle früheren Versionen gelten als betroffen, und bestehende Installationen sind dafür ausgelegt, die gepatchte Version automatisch zu erhalten, wenn die Anwendung gestartet wird. Organisationen sollten sicherstellen, dass die bereitgestellten Endpunkte Version 4.0.9.8 oder neuer ausführen, anstatt davon auszugehen, dass das automatische Update bereits abgeschlossen ist.
Organisationen sollten auch sicherstellen, dass Siemens-Software ausschließlich über offizielle Siemens-Quellen bezogen wird. Das Unternehmen gibt an, dass das in der Kampagne eingesetzte bösartige Paket außerhalb seiner offiziellen Infrastruktur verteilt wurde und dass kein Siemens-Produkt oder Update-Kanal kompromittiert wurde.
Sicherheitsteams sollten die bekannte bösartige Infrastruktur bei DNS-Resolvern, Proxys und Firewalls blockieren und rückblickend Endpunkt- und Netzwerk-Telemetriedaten auf frühere Verbindungen durchsuchen. Verteidiger sollten speziell nach der Ausführung von SiemensSoftwareCenter.exe aus AppDataLocalPrograms suchen, insbesondere wenn diese über msiexec.exe gestartet wird, und unerwartete DLL-Dateien, die neben Siemens-Programmen außerhalb normaler Installationsverzeichnisse platziert wurden, inspizieren.
Hash-basiertes Monitoring von SiemensSoftwareCenter.exe allein ist unzureichend, da die von den Angreifern missbrauchte Datei legitim ist. Die Erkennungslogik sollte sich stattdessen auf anomale Ausführungspfade, verdächtige untergeordnete oder übergeordnete Prozesse, unerwartete angrenzende DLLs, Persistenzmechanismen und Kommunikation mit bekannter bösartiger Infrastruktur konzentrieren.
Wenn Anzeichen einer Gefährdung identifiziert werden, isolieren Sie den betroffenen Endpunkt, beenden Sie den bösartigen Prozess, entfernen Sie nicht autorisierte Start- oder geplante Einträge und setzen Sie potenziell exponierte Passwörter zurück. Siemens empfiehlt außerdem, historische Protokolle auf Verbindungen zu aktiver und zuvor genutzter Kampagneninfrastruktur zu überprüfen.
FAQ
Was ist CVE-2026-110936 und wie funktioniert es?
CVE-2026-110936 ist eine schwerwiegende DLL-Sideloading-Schwachstelle im Siemens Software Center. Die Anwendung kann DLLs aus einem unkontrollierten Suchpfad laden, was einem lokal authentifizierten Angreifer möglicherweise erlaubt, eine gestaltete DLL in einem durchsuchten Verzeichnis zu platzieren und bösartigen Code mit den Rechten der betroffenen Anwendung auszuführen. Bei beobachteten ClickFix-Angriffen verpackten Bedrohungsakteure ein legitimes signiertes Siemens-Programm zusammen mit bösartigen DLLs, sodass die vertrauenswürdige Anwendung Angreifer-kontrollierten Code lädt.
Wann wurde CVE-2026-110936 erstmals entdeckt?
Die bereitgestellten Quellen geben kein genaues Datum an, an dem die Schwachstelle zunächst entdeckt wurde. Siemens veröffentlichte die Schwachstelle öffentlich durch die Beratung SSA-580366 am 15. Oktober 2026 und würdigte den Huntress Labs-Forscher Jose Oregon für die Meldung. Siemens bestätigte am 19. Oktober 2026 die aktive Ausnutzung.
Welche Auswirkungen hat CVE-2026-110936 auf Systeme?
Erfolgreiche Ausnutzung kann zur Ausführung von beliebigem Code mit den Rechten des Siemens Software Centers führen. Im beobachteten Kampagnenverlauf konnten Angreifer eine vertrauenswürdige, digital signierte Anwendung als Träger für die Ausführung bösartiger DLLs missbrauchen, was die Unterscheidung bösartiger Aktivitäten von legitimen Softwareverhaltensweisen erschwert.
Kann CVE-2026-110936 mich 2026 noch betreffen?
Ja. Siemens Software Center-Versionen früher als 4.0.9.8 bleiben anfällig. Das Risiko ist besonders bedeutend, da die aktive Ausnutzung bereits bestätigt wurde und Angreifer gezeigt haben, dass das legitime Siemens-Programm in von ClickFix gesteuerte Malware-Delivery-Ketten integriert werden kann.
Wie kann ich mich vor CVE-2026-110936 schützen?
Aktualisieren Sie das Siemens Software Center auf Version 4.0.9.8 oder höher und überprüfen Sie, ob die gepatchte Version tatsächlich installiert ist. Laden Sie Siemens-Software nur von offiziellen Quellen herunter, blockieren Sie die veröffentlichte bösartige Infrastruktur und suchen Sie nach verdächtiger Ausführung von SiemensSoftwareCenter.exe aus benutzerbeschreibbaren Verzeichnissen. Organisationen sollten auch angrenzende DLL-Dateien, ungewöhnliche msiexec.exe-Aktivitäten, unerwartete Persistenzartefakte und historische Netzverbindungen untersuchen. Wenn ein Kompromiss vermutet wird, isolieren Sie den Endpunkt und folgen Sie den festgelegten Vorfallreaktionsverfahren.
