Segui Siemens ha confermato lo sfruttamento attivo di una vulnerabilità critica di DLL side-loading nel Software Center di Siemens, un’applicazione desktop utilizzata per scaricare, installare, attivare e aggiornare i software Siemens. Tracciata come CVE-2026-110936 e valutata 8.4 secondo il CVSS v4.0, la falla deriva da un percorso di ricerca DLL non controllato e può portare all’esecuzione arbitraria di codice con i privilegi dell’applicazione interessata.
La vulnerabilità è già stata armata nell’attività ClickFix collegata da Siemens alla piattaforma di consegna Romulus. Negli attacchi osservati, gli attori delle minacce hanno accoppiato una copia legittima e digitalmente firmata del Software Center Siemens con file DLL controllati dagli attaccanti piuttosto che modificare l’eseguibile Siemens stesso. Siemens ha sottolineato che i suoi sistemi, prodotti e canali di aggiornamento ufficiali non sono stati compromessi.
I team di sicurezza che cercano contenuti di rilevamento CVE-2026-110936 possono sfruttare la piattaforma di rilevamento basata sull’intelligenza artificiale di SOC Prime per rafforzare la visibilità sullo sfruttamento della vulnerabilità, il side-loading di DLL, l’esecuzione di processi sospetti e comportamenti post-compromissione correlati.
Clicca Esplora rilevamenti per accedere a contenuti di rilevamento pertinenti e cercare attività malevole emergenti. Per rilevare lo sfruttamento di CVE-2026-110936 e i modelli di attacco correlati, i difensori dovrebbero dare priorità alle analisi basate sul comportamento anziché affidarsi esclusivamente agli hash dell’eseguibile firmato Siemens.
I rilevamenti di SOC Prime possono essere applicati su più tecnologie SIEM, EDR e Data Lake e allineati con il framework MITRE ATT&CK®. I team di sicurezza possono anche sfruttare le capacità di Prime Architect e Uncoder AI per trasformare in query di hunting le nuove informazioni sulle minacce e gli indicatori, affinare la logica di rilevamento e accelerare i flussi di lavoro di ingegneria del rilevamento.
Analisi CVE-2026-110936
CVE-2026-110936 colpisce le versioni del Software Center di Siemens precedenti alla 4.0.9.8. Siemens classifica la vulnerabilità come CWE-427, Elemento di Percorso di Ricerca Non Controllato. L’applicazione colpita può cercare file DLL in una posizione insufficientemente ristretta, consentendo potenzialmente a un attaccante locale autenticato di posizionare una libreria appositamente creata in una directory cercata ed eseguire codice con i privilegi del Software Center di Siemens.
La campagna attiva dimostra come questa debolezza possa essere incorporata in una catena di malware guidata dall’ingegneria sociale. Gli attaccanti hanno distribuito un eseguibile genuino del Software Center di Siemens con una firma digitale valida insieme a file DLL malevoli. Siemens ha affermato che la versione 3.5.8.7, l’ultima rilasciata al momento degli attacchi osservati, caricava file aggiuntivi situati accanto all’eseguibile senza convalida preventiva.
Di conseguenza, l’eseguibile legittimo di Siemens non è stato modificato. Invece, la funzionalità malevola risiedeva all’interno di file DLL forniti dagli attaccanti caricati all’avvio del Software Center. Questo approccio consente agli avversari di abusare della fiducia associata a un’applicazione firmata legittimamente eseguendo codice controllato dagli attaccanti.
The Hacker News riporta che la catena di attacco ha utilizzato msiexec.exe per lanciare AllMyBasic.msi, che successivamente ha eseguito SiemensSoftwareCenter.exe. Siemens ha identificato archive.dll come uno dei componenti malevoli associati alla campagna.
Siemens ha attribuito l’attività a Romulus, un’operazione di consegna multi-piattaforma ClickFix. Gli attacchi ClickFix presentano tipicamente alle vittime dei prompt ingannevoli, come CAPTCA falsi o istruzioni di verifica, che persuadono gli utenti a copiare ed eseguire comandi malevoli da soli. Attività correlate a Romulus sono state osservate anche nella distribuzione di LegionLoader e nell’abuso di applicazioni firmate legittimamente da altri fornitori per il side-loading di DLL.
I rapporti forniti non descrivono un PoC pubblico di CVE-2026-110936. Tuttavia, la disponibilità di un proof-of-concept è meno importante in questo caso perché Siemens ha già confermato lo sfruttamento della vulnerabilità in attacchi nel mondo reale.
Gli Indicatori di Compromesso (IOC) di CVE-2026-110936 pubblicati da Siemens includono 96.62.218[.]59, utilizzato per l’hosting del payload e il comando e controllo; wizardexpensive[.]com, anch’esso associato all’hosting del payload e al C2; e 2.27.248[.]127, che è stato utilizzato per distribuire il pacchetto malevolo AllMyBasic.msi.
I dettagli pubblicati per CVE-2026-110936 evidenziano anche diversi artefatti host che possono aiutare i difensori a identificare i sistemi compromessi. Questi includono l’esecuzione di SiemensSoftwareCenter.exe da AppDataLocalPrograms, una cartella SM Software Provisioning Service, file chiamati activate.bak o statinfosta.DB accanto all’eseguibile e una directory FTSuite contenente ftc.uml sotto AppDataLocal.
Poiché il binario Siemens utilizzato dagli attaccanti è genuino e digitalmente firmato, la sola reputazione del file tradizionale potrebbe non riuscire a esporre l’attacco. I team di sicurezza dovrebbero invece correlare la posizione dell’eseguibile, il processo padre, i file DLL adiacenti, gli artefatti di persistenza e le connessioni di rete in uscita.
Mitigazione CVE-2026-110936
Siemens ha affrontato la vulnerabilità nella versione 4.0.9.8 del Software Center. Tutte le versioni precedenti sono considerate vulnerabili, e le installazioni esistenti sono progettate per ricevere automaticamente il rilascio corretto all’avvio dell’applicazione. Le organizzazioni dovrebbero verificare che i punti finali distribuiti eseguano la versione 4.0.9.8 o successiva anziché presumere che l’aggiornamento automatico sia già stato completato.
Le organizzazioni dovrebbero inoltre garantire che il software Siemens sia ottenuto esclusivamente attraverso fonti ufficiali Siemens. L’azienda afferma che il bundle malevolo coinvolto nella campagna è stato distribuito al di fuori della sua infrastruttura ufficiale e che nessun prodotto o canale di aggiornamento Siemens è stato compromesso.
I team di sicurezza dovrebbero bloccare l’infrastruttura malevola nota presso i resolver DNS, i proxy e i firewall e cercare retrospettivamente nella telemetria degli endpoint e della rete connessioni precedenti. I difensori dovrebbero specificamente cercare esecuzioni di SiemensSoftwareCenter.exe da AppDataLocalPrograms, in particolare quando lanciato tramite msiexec.exe, e ispezionare i file DLL inaspettati posizionati accanto agli eseguibili Siemens al di fuori delle directory di installazione normali.
Il monitoraggio basato sugli hash di SiemensSoftwareCenter.exe da solo è insufficiente perché il file abusato dagli attaccanti è legittimo. La logica di rilevamento dovrebbe invece concentrarsi su percorsi di esecuzione anomali, processi genitori o figli sospetti, DLL adiacenti inaspettate, meccanismi di persistenza e comunicazioni con infrastrutture malevole note.
Se vengono identificati indicatori di compromissione, isolare il punto finale colpito, terminare il processo malevolo, rimuovere le voci di avvio o i task pianificati non autorizzati e reimpostare le password potenzialmente esposte. Siemens raccomanda inoltre di rivedere i log storici per le connessioni sia all’infrastruttura della campagna attiva che a quella precedentemente utilizzata.
FAQ
Cos’è CVE-2026-110936 e come funziona?
CVE-2026-110936 è una vulnerabilità critica di DLL side-loading nel Software Center di Siemens. L’applicazione può caricare DLL da un percorso di ricerca non controllato, consentendo potenzialmente a un attaccante localmente autenticato di posizionare una DLL appositamente creata in una directory cercata ed eseguire codice malevolo con i privilegi dell’applicazione interessata. Negli attacchi ClickFix osservati, gli attori delle minacce hanno impacchettato un eseguibile Siemens firmato legittimo insieme a DLL malevoli affinché l’applicazione fidata caricasse codice controllato dagli attaccanti.
Quando è stata scoperta per la prima volta CVE-2026-110936?
Le fonti fornite non indicano la data esatta in cui la vulnerabilità è stata inizialmente scoperta. Siemens ha pubblicamente divulgato la falla tramite l’advisory SSA-580366 il 15 ottobre 2026, accreditando il ricercatore di Huntress Labs Jose Oregon per averla segnalata. Siemens ha successivamente confermato lo sfruttamento attivo il 19 ottobre 2026.
Qual è l’impatto di CVE-2026-110936 sui sistemi?
Lo sfruttamento successo può portare all’esecuzione arbitraria di codice con i privilegi del Software Center di Siemens. Nella campagna osservata, gli attaccanti sono stati in grado di abusare di un’applicazione fidata e digitalmente firmata come vettore per l’esecuzione di DLL malevoli, rendendo l’attività malevola più difficile da distinguere dal comportamento legittimo del software.
CVE-2026-110936 può ancora affliggermi nel 2026?
Sì. Le versioni del Software Center di Siemens precedenti alla 4.0.9.8 rimangono vulnerabili. Il rischio è particolarmente significativo perché lo sfruttamento attivo è già stato confermato e gli attaccanti hanno dimostrato che l’eseguibile Siemens legittimo può essere incorporato nelle catene di delivery malware guidate da ClickFix.
Come posso proteggermi da CVE-2026-110936?
Aggiorna il Software Center di Siemens alla versione 4.0.9.8 o successiva e verifica che la versione corretta sia effettivamente installata. Scarica il software Siemens solo da fonti ufficiali, blocca l’infrastruttura malevola pubblicata e cerca esecuzioni sospette di SiemensSoftwareCenter.exe da directory scrivibili dagli utenti. Le organizzazioni dovrebbero anche ispezionare i file DLL vicini, le attività inconsuete di msiexec.exe, gli artefatti di persistenza imprevisti e le connessioni di rete storiche. Se si sospetta una compromissione, isola il punto finale e segui le procedure di risposta agli incidenti stabilite.
