Стежити Siemens підтвердив активне використання вразливості DLL side-loading високої важливості в Siemens Software Center, настільному додатку, що використовується для завантаження, встановлення, активації та оновлення програмного забезпечення Siemens. Під відстежуваним ідентифікатором CVE-2026-110936 та з рейтингом 8.4 за CVSS v4.0, недолік походить від неконтрольованого шляху пошуку DLL і може призвести до виконання довільного коду з правами викликаного додатку.
Вразливість вже була використана в активності ClickFix, що Siemens пов’язує з платформою доставки Romulus. В обміреній атаці зловмисники використовували легітимну, цифрово підписану копію Siemens Software Center разом з DLL-файлами, які контролюються зловмисниками, замість того, щоб модифікувати сам виконуваний файл Siemens. Siemens підкреслив, що їхні системи, продукти та офіційні канали оновлень не були скомпрометовані.
Команди з безпеки, які шукають контент для виявлення CVE-2026-110936, можуть скористатися AI-Native Detection Intelligence Platform від SOC Prime, щоб посилити видимість експлуатації вразливостей, завантаження DLL без перевірки, підозріле виконання процесу та відповідну поведінку після компрометації.
Натисніть Досліджуйте Виявлення , щоб отримати доступ до відповідного контенту для виявлення та шукати виникаючу зловмисну активність. Для виявлення експлуатації CVE-2026-110936 та відповідних патернів атак, захисники мають пріоритизувати аналітику на основі поведінки замість виключного покладання на хеші підписаного файлу Siemens.
Виявлення SOC Prime можуть бути застосовані в різних технологіях SIEM, EDR, та Data Lake і узгоджені з фреймворком MITRE ATT&CK®. Команди з безпеки також можуть скористатися можливостями Prime Architect і Uncoder AI для перетворення нової загрозової інформації та індикаторів у запити для полювання, вдосконалення логіки виявлення та прискорення робочих процесів інженерії виявлення.
Аналіз CVE-2026-110936
CVE-2026-110936 впливає на версії Siemens Software Center раніше ніж 4.0.9.8. Siemens класифікує вразливість як CWE-427, Невконтрольований елемент шляху пошуку. Вражений додаток може шукати DLL-файли у недостатньо обмеженій локації, потенційно дозволяючи аутентифікованому локальному атакувальнику розмістити спеціально створену бібліотеку в каталозі пошуку та виконати код з привілеями Siemens Software Center.
Активна кампанія демонструє, як ця слабкість може бути впроваджена в соціально-інженерну зловмисну ланцюг. Атакувальники розповсюдили справжній виконуваний файл Siemens Software Center, що несе дійсний цифровий підпис разом із зловмисними DLL-файлами. Siemens зазначив, що версія 3.5.8.7, останнє випуск на момент обмірених атак, завантажувала допоміжні файли, розташовані поруч з виконуваним файлом, без попередньої перевірки їх.
Як результат, сам легітимний виконуваний файл Siemens не був модифікований. Натомість зловмисна функціональність знаходилася всередині DLL-файлів, наданих атакувальниками, які завантажувалися при запуску Software Center. Цей підхід дозволяє зловмисникам зловживати довірою, пов’язаною з легітимно підписаним додатком, виконуючи код, контрольований атакувальниками.
Hacker News повідомляє, що в ланцюзі атаки використовувалися msiexec.exe для запуску AllMyBasic.msi, який згодом виконував SiemensSoftwareCenter.exe. Siemens ідентифікував archive.dll як один з зловмисних компонентів, пов’язаних з кампанією.
Siemens приписав активність до Romulus, багатоплатформної операції доставки ClickFix. Атаки ClickFix зазвичай представляють жертвам оманливі запити, такі як підроблені CAPTCHA чи інструкції для перевірки, що переконують користувачів скопіювати та виконати зловмисні команди самостійно. Відзначена активність Romulus також була помічена в доставці LegionLoader та зловживанні легітимними підписаними додатками від інших постачальників для завантаження DLL без перевірки.
Представлені звіти не описують публічний PoC CVE-2026-110936. Проте наявність доказу концепту менш важлива в цьому випадку, оскільки Siemens вже підтвердив експлуатацію вразливості в реальних атаках.
ІОС CVE-2026-110936, опубліковані Siemens, включають 96.62.218[.]59, використовується для розміщення корисного навантаження та управління і контролю; wizardexpensive[.]com, також пов’язаний з розміщенням корисного навантаження та C2; і 2.27.248[.]127, яке використовувалося для розповсюдження зловмисного пакету AllMyBasic.msi.
Опубліковані деталі для CVE-2026-110936 також виділяють кілька артефактів хоста, які можуть допомогти захисникам ідентифікувати скомпрометовані системи. Включаючи SiemensSoftwareCenter.exe, що виконується з AppDataLocalPrograms, теку SM Software Provisioning Service, файли під назвою activate.bak чи statinfosta.DB поряд із виконуваним файлом, та теку FTSuite, що містить ftc.uml під AppDataLocal.
Оскільки бінарний файл Siemens, використаний атакувальниками, є справжнім і цифрово підписаним, сама репутація файлу може не викрити атаку. Команди з безпеки повинні замість цього корелювати місцезнаходження виконуваного файлу, процес батька, сусідні DLL-файли, артефакти персистенції та вихідні мережеві з’єднання.
Зменшення ризиків CVE-2026-110936
Siemens усунув вразливість у версії Software Center 4.0.9.8. Усі попередні версії вважаються уразливими, і існуючі інсталяції налаштовані на автоматичне отримання виправленого випуску при запуску додатку. Організації повинні перевірити, що розгорнуті кінцеві точки виконують версію 4.0.9.8 або новішу, а не передбачати, що автоматичне оновлення вже було виконано.
Організації також повинні переконатися, що програмне забезпечення Siemens отримується виключно через офіційні джерела Siemens. Компанія заявляє, що зловмисний пакет, причетний до кампанії, був поширений поза її офіційною інфраструктурою і що жоден продукт Siemens чи канал оновлення не були скомпрометовані.
Команди з безпеки повинні блокувати відому зловмисну інфраструктуру на DNS-резольверах, проксі-серверах та міжмережевих екранах та ретроспективно шукати телеметрію кінцевого і мережевого рівня для попередніх з’єднань. Захисники повинні спеціально шукати SiemensSoftwareCenter.exe, що виконується з AppDataLocalPrograms, особливо коли це виконується через msiexec.exe, та перевіряти наявність несподіваних DLL-файлів, розміщених поруч з виконуваними файлами Siemens поза нормальними директоріями установки.
Моніторинг SiemensSoftwareCenter.exe тільки на основі хешів є недостатнім, оскільки файл, використаний атакувальниками, є легітимним. Логіка виявлення повинна замість цього фокусуватися на аномальних шляхах виконання, підозрілих дочірніх чи батьківських процесах, несподіваних сусідніх DLL-файлах, механізмах персистенції та комунікаціях із відомою зловмисною інфраструктурою.
Якщо ідентифіковані індикатори компрометації, ізолюйте вражену кінцеву точку, заверште зловмисний процес, видаліть неавторизовані записи автозапуску чи заплановані завдання і перезадайте потенційно піддані паролі. Siemens також рекомендує переглядати історичні журнали для з’єднань як з активною, так і з раніше використаною інфраструктурою кампанії.
FAQ
Що таке CVE-2026-110936 і як вона працює?
CVE-2026-110936 є вразливістю з високим ризиком завантаження DLL без перевірки в Siemens Software Center. Додаток може завантажувати DLL з неконтрольованого шляху пошуку, потенційно дозволяючи локально аутентифікованому атакувальнику розмістити створену DLL у каталозі пошуку та виконати зловмисний код з правами враженого додатку. В обмірених атаках ClickFix зловмисники пакували легітимно підписаний виконуваний файл Siemens разом із зловмисними DLL, щоб довірений додаток завантажував код, контрольований зловмисниками.
Коли CVE-2026-110936 було вперше виявлено?
Представлені джерела не надають точної дати виявлення вразливості. Siemens публічно розкрив недолік через рекомендацію SSA-580366 15 жовтня 2026 року і надав значення Jose Oregon, досліднику Huntress Labs, за повідомлення про це. Пізніше Siemens підтвердив активну експлуатацію 19 жовтня 2026 року.
Який вплив CVE-2026-110936 на системи?
Успішна експлуатація може призвести до виконання довільного коду з привілеями Siemens Software Center. В обміреній кампанії зловмисники змогли зловживати довіреним, цифрово підписаним додатком як носієм для виконання зловмисного DLL, що робить зловмисну активність більш важкою для розрізнення від дійсної поведінки програмного забезпечення.
Чи може CVE-2026-110936 все ще впливати на мене в 2026 році?
Так. Версії Siemens Software Center раніше 4.0.9.8 залишаються уразливими. Ризик є особливо значущим, оскільки активна експлуатація вже була підтверджена, і атакувальники продемонстрували, що легітимний виконуваний файл Siemens може бути включений у ланцюги доставлення зловмисного програмного забезпечення, керовані ClickFix.
Як я можу захистити себе від CVE-2026-110936?
Оновіть Siemens Software Center до версії 4.0.9.8 або новішої і переконайтеся, що дійсно встановлено виправлену версію. Завантажуйте програмне забезпечення Siemens тільки з офіційних джерел, блокуйте опубліковану зловмисну інфраструктуру і шукайте підозріле виконання SiemensSoftwareCenter.exe з директорій, доступних для запису користувачем. Організації також повинні перевіряти сусідні DLL-файли, незвичайну активність msiexec.exe, несподівані артефакти персистенції та історичні мережеві з’єднання. Якщо підозрюється компрометація, ізолюйте кінцеву точку і дотримуйтесь встановлених процедур реагування на інциденти.
