Suivre Siemens a confirmé l’exploitation active d’une vulnérabilité de chargement de DLL de haute gravité dans Siemens Software Center, une application de bureau utilisée pour télécharger, installer, activer et mettre à jour les logiciels Siemens. Suivie sous le code CVE-2026-110936 et notée 8,4 selon le CVSS v4.0, la faille provient d’un chemin de recherche de DLL incontrôlé et peut entraîner l’exécution de code arbitraire avec les privilèges de l’application affectée.
La vulnérabilité a déjà été militarisée dans l’activité ClickFix, liée par Siemens à la plateforme de distribution Romulus. Dans les attaques observées, les acteurs malveillants ont associé une copie légitime et signée numériquement de Siemens Software Center avec des fichiers DLL contrôlés par des attaquants plutôt que de modifier l’exécutable Siemens lui-même. Siemens a souligné que ses systèmes, produits et canaux de mise à jour officiels n’ont pas été compromis.
Les équipes de sécurité à la recherche de contenu de détection pour CVE-2026-110936 peuvent tirer parti de la plate-forme de détection native de l’IA de SOC Prime pour renforcer la visibilité sur l’exploitation des vulnérabilités, le chargement de DLL, l’exécution de processus suspects et le comportement post-compromis lié.
Cliquez Explorez les détections pour accéder au contenu de détection pertinent et rechercher des activités malveillantes émergentes. Pour détecter l’exploitation de CVE-2026-110936 et les schémas d’attaque associés, les défenseurs devraient privilégier les analyses comportementales plutôt que de se fier exclusivement aux hachages de l’exécutable signé Siemens.
Les détections SOC Prime peuvent être appliquées sur plusieurs technologies SIEM, EDR et Data Lake et alignées avec le cadre MITRE ATT&CK®. Les équipes de sécurité peuvent également tirer parti des capacités de Prime Architect et d’Uncoder AI pour transformer les nouvelles informations et indicateurs de menace en requêtes de chasse, affiner la logique de détection et accélérer les flux de travail d’ingénierie de détection.
Analyse de CVE-2026-110936
CVE-2026-110936 affecte les versions de Siemens Software Center antérieures à la 4.0.9.8. Siemens classe la vulnérabilité comme CWE-427, élément de chemin de recherche non contrôlé. L’application affectée peut rechercher un emplacement insuffisamment restreint pour les fichiers DLL, permettant potentiellement à un attaquant local authentifié de placer une bibliothèque spécialement conçue dans un répertoire recherché et d’exécuter du code avec les privilèges de Siemens Software Center.
La campagne active démontre comment cette faiblesse peut être intégrée dans une chaîne de logiciels malveillants pilotée par l’ingénierie sociale. Les attaquants ont distribué un exécutable légitime de Siemens Software Center portant une signature numérique valide avec des fichiers DLL malveillants. Siemens a déclaré que la version 3.5.8.7, la dernière version au moment des attaques observées, chargeait des fichiers auxiliaires situés à côté de l’exécutable sans les valider d’abord.
En conséquence, l’exécutable Siemens légitime lui-même n’a pas été modifié. Au lieu de cela, la fonctionnalité malveillante résidait à l’intérieur des fichiers DLL fournis par les attaquants qui étaient chargés lors du démarrage de Software Center. Cette approche permet aux adversaires d’abuser de la confiance associée à une application signée légitimement tout en exécutant du code contrôlé par l’attaquant.
The Hacker News rapporte que la chaîne d’attaques a utilisé msiexec.exe pour lancer AllMyBasic.msi, ce qui a par la suite exécuté SiemensSoftwareCenter.exe. Siemens a identifié archive.dll comme l’un des composants malveillants associés à la campagne.
Siemens a attribué l’activité à Romulus, une opération de livraison multi-plateforme par ClickFix. Les attaques ClickFix présentent généralement aux victimes des invites trompeuses, telles que de faux CAPTCHA ou des instructions de vérification, qui persuadent les utilisateurs de copier et exécuter eux-mêmes des commandes malveillantes. Une activité Romulus connexe a également été observée livrant LegionLoader et abusant d’applications signées légitimement de la part d’autres fournisseurs pour le chargement de DLL.
Les rapports fournis ne décrivent pas de PoC public pour CVE-2026-110936. Cependant, la disponibilité du proof-of-concept est moins importante dans ce cas parce que Siemens a déjà confirmé l’exploitation de la vulnérabilité dans des attaques réelles.
Les indicateurs de compromission CVE-2026-110936 publiés par Siemens incluent 96.62.218[.]59, utilisé pour l’hébergement et le commandement & contrôle de charges utiles ; wizardexpensive[.]com, également associé à l’hébergement de charge utile et au C2 ; et 2.27.248[.]127, qui a été utilisé pour distribuer le paquet malveillant AllMyBasic.msi.
Les détails publiés pour CVE-2026-110936 soulignent également plusieurs artefacts hôtes pouvant aider les défenseurs à identifier les systèmes compromis. Ceux-ci incluent SiemensSoftwareCenter.exe exécuté depuis AppDataLocalPrograms, un dossier SM Software Provisioning Service, des fichiers nommés activate.bak ou statinfosta.DB à côté de l’exécutable, et un répertoire FTSuite contenant ftc.uml sous AppDataLocal.
Étant donné que le binaire Siemens utilisé par les attaquants est authentique et signé numériquement, la réputation basée sur les fichiers seule peut échouer à exposer l’attaque. Les équipes de sécurité doivent plutôt corréler l’emplacement de l’exécutable, le processus parent, les fichiers DLL adjacents, les artefacts de persistance, et les connexions réseau sortantes.
Atténuation CVE-2026-110936
Siemens a corrigé la vulnérabilité dans la version 4.0.9.8 de Software Center. Toutes les versions antérieures sont considérées comme affectées, et les installations existantes sont conçues pour recevoir automatiquement la version corrigée au démarrage de l’application. Les organisations doivent vérifier que les points de terminaison déployés exécutent la version 4.0.9.8 ou plus récente plutôt que de supposer que la mise à jour automatique a déjà été effectuée.
Les organisations doivent également s’assurer que les logiciels Siemens sont obtenus exclusivement via des sources officielles Siemens. La société déclare que le paquet malveillant impliqué dans la campagne a été distribué en dehors de son infrastructure officielle et qu’aucun produit ou canal de mise à jour Siemens n’a été compromis.
Les équipes de sécurité doivent bloquer l’infrastructure malveillante connue aux résolveurs DNS, aux proxys, et aux pare-feux et rechercher rétrospectivement dans la télémétrie des points de terminaison et du réseau pour détecter les connexions antérieures. Les défenseurs doivent spécifiquement rechercher SiemensSoftwareCenter.exe exécuté depuis AppDataLocalPrograms, en particulier quand il est lancé via msiexec.exe, et inspecter pour des fichiers DLL inattendus placés à côté des exécutables Siemens en dehors des répertoires d’installation normaux.
La surveillance basée sur les hachages de SiemensSoftwareCenter.exe seule est insuffisante parce que le fichier abusé par les attaquants est légitime. La logique de détection doit plutôt se concentrer sur les chemins d’exécution anormaux, les processus enfants ou parents suspects, les DLL adjacentes inattendues, les mécanismes de persistance, et les communications avec l’infrastructure malveillante connue.
Si des indicateurs de compromission sont identifiés, isolez le point de terminaison affecté, terminez le processus malveillant, retirez les entrées de démarrage non autorisées ou les tâches planifiées, et réinitialisez les mots de passe potentiellement exposés. Siemens recommande également de revoir les journaux historiques pour les connexions à l’infrastructure de campagne active et précédemment utilisée.
FAQ
Qu’est-ce que CVE-2026-110936 et comment fonctionne-t-il ?
CVE-2026-110936 est une vulnérabilité de chargement de DLL de haute gravité dans Siemens Software Center. L’application peut charger des DLL depuis un chemin de recherche non contrôlé, permettant potentiellement à un attaquant localement authentifié de placer une DLL conçue dans un répertoire recherché et d’exécuter du code malveillant avec les privilèges de l’application affectée. Dans les attaques ClickFix observées, les acteurs de la menace ont emballé un exécutable Siemens légitime signé avec des DLL malveillantes afin que l’application de confiance charge du code contrôlé par l’attaquant.
Quand CVE-2026-110936 a-t-il été découvert pour la première fois ?
Les sources fournies ne donnent pas la date exacte à laquelle la vulnérabilité a été initialement découverte. Siemens a divulgué la faille publiquement par le biais de l’avis SSA-580366 le 15 octobre 2026 et a crédité le chercheur de Huntress Labs Jose Oregon pour l’avoir signalée. Siemens a ensuite confirmé une exploitation active le 19 octobre 2026.
Quel est l’impact de CVE-2026-110936 sur les systèmes ?
L’exploitation réussie peut entraîner l’exécution de code arbitraire avec les privilèges de Siemens Software Center. Dans la campagne observée, les attaquants ont pu abuser d’une application de confiance et signée numériquement comme support pour l’exécution de DLL malveillant, rendant l’activité malveillante plus difficile à distinguer du comportement logiciel légitime.
CVE-2026-110936 peut-elle encore m’affecter en 2026 ?
Oui. Les versions de Siemens Software Center antérieures à la 4.0.9.8 restent vulnérables. Le risque est particulièrement important car l’exploitation active a déjà été confirmée et les attaquants ont démontré que l’exécutable Siemens légitime peut être intégré dans des chaînes de livraison de logiciels malveillants pilotées par ClickFix.
Comment puis-je me protéger contre CVE-2026-110936 ?
Mettez à jour Siemens Software Center vers la version 4.0.9.8 ou une version ultérieure et vérifiez que la version corrigée est bien installée. Téléchargez les logiciels Siemens uniquement à partir de sources officielles, bloquez l’infrastructure malveillante publiée, et recherchez l’exécution suspecte de SiemensSoftwareCenter.exe depuis des répertoires modifiables par l’utilisateur. Les organisations doivent également inspecter les fichiers DLL voisins, l’activité inhabituelle de msiexec.exe, les artefacts de persistance inattendus, et les connexions réseau historiques. Si une compromission est suspectée, isolez le point de terminaison et suivez les procédures de réponse aux incidents établies.
