Śledź Siemens potwierdził aktywne wykorzystanie podatności o wysokim stopniu istotności związanej z side-loadingiem DLL w Siemens Software Center, aplikacji desktopowej używanej do pobierania, instalowania, aktywowania oraz aktualizowania oprogramowania Siemensa. Śledzona pod nazwą CVE-2026-110936 i oceniana na 8,4 w CVSS v4.0, luka wynika z niekontrolowanej ścieżki wyszukiwania DLL i może prowadzić do wykonania dowolnego kodu z uprawnieniami dotkniętej aplikacji.
Podatność została już wykorzystana w aktywności ClickFix, powiązanej przez Siemensa z platformą dostarczania Romulus. W zaobserwowanych atakach, cyberprzestępcy łączyli legalną, cyfrowo podpisaną kopię Siemens Software Center z kontrolowanymi przez atakujących plikami DLL, zamiast modyfikowania samego pliku wykonywalnego Siemensa. Siemens podkreślił, że jego systemy, produkty i oficjalne kanały aktualizacji nie zostały naruszone.
Zespoły ds. bezpieczeństwa poszukujące treści wykrywających CVE-2026-110936 mogą wykorzystać platformę AI-Native Detection Intelligence SOC Prime, aby wzmocnić widoczność eksploatacji podatności, side-loadingu DLL, podejrzanej egzekucji procesów i powiązanych postkompromisowych działań.
Kliknij Zobacz Wykrycia aby uzyskać dostęp do odpowiednich treści związanych z wykrywaniem i polować na pojawiające się złośliwe aktywności. Aby wykryć eksploatację CVE-2026-110936 i powiązane wzorce ataków, obrońcy powinni priorytetowo traktować analizy oparte na zachowaniu, zamiast polegać wyłącznie na hashach podpisanego pliku wykonywalnego Siemensa.
Wykrycia SOC Prime można stosować w różnych technologiach SIEM, EDR i Data Lake oraz dopasować do frameworku MITRE ATT&CK®. Zespoły ds. bezpieczeństwa mogą również wykorzystać możliwości Prime Architect i Uncoder AI do przekształcania nowej inteligencji o zagrożeniach i wskaźnikach w zapytania łowieckie, udoskonalanie logiki wykrywania i przyspieszanie przepływów pracy związanych z inżynierią detekcji.
Analiza CVE-2026-110936
CVE-2026-110936 dotyczy wersji Siemens Software Center wcześniejszych niż 4.0.9.8. Siemens klasyfikuje podatność jako CWE-427, Element Niekontrolowanego Wyszukiwania Ścieżki. Dotknięta aplikacja może przeszukiwać niewystarczająco ograniczoną lokalizację w poszukiwaniu plików DLL, co potencjalnie umożliwia uwierzytelnionemu lokalnemu napastnikowi umieszczenie specjalnie skonstruowanej biblioteki w przeszukiwanym katalogu i wykonanie kodu z uprawnieniami Siemens Software Center.
Aktywna kampania pokazuje, jak ten słaby punkt może zostać wbudowany w łańcuch malware oparty na socjotechnice. Atakujący rozprowadzali autentyczny plik wykonywalny Siemens Software Center z ważnym podpisem cyfrowym wraz ze złośliwymi plikami DLL. Siemens stwierdził, że wersja 3.5.8.7, najnowsze wydanie w czasie zaobserwowanych ataków, ładowała pliki pomocnicze umieszczone obok pliku wykonywalnego bez ich wcześniejszej weryfikacji.
W rezultacie, legalny plik wykonywalny Siemensa nie został zmodyfikowany. Zamiast tego, złośliwa funkcjonalność znajdowała się w dostarczonych przez atakujących plikach DLL, które były ładowane przy starcie Software Center. Takie podejście pozwala przeciwnikom na nadużycie zaufania związanego z prawomocnie podpisaną aplikacją, podczas wykonywania kontrolowanego przez atakującego kodu.
The Hacker News raportuje, że łańcuch ataku używał msiexec.exe do uruchomienia AllMyBasic.msi, który następnie uruchamiał SiemensSoftwareCenter.exe. Siemens zidentyfikował archive.dll jako jeden ze złośliwych komponentów powiązanych z kampanią.
Siemens przypisał tę aktywność Romulusowi, multiplatformowej operacji dostarczania ClickFix. Ataki ClickFix zazwyczaj przedstawiają ofiarom zwodnicze podpowiedzi, takie jak fałszywe CAPTCHA czy instrukcje weryfikacyjne, które skłaniają użytkowników do samodzielnego kopiowania i wykonywania złośliwych komend. Powiązana aktywność Romulus była również obserwowana w dostarczaniu LegionLoader i nadużywaniu prawomocnie podpisanych aplikacji innych dostawców do side-loadingu DLL.
Dostarczone raporty nie opisują publicznego PoC dla CVE-2026-110936. Jednak dostępność proof-of-concept jest mniej ważna w tym przypadku, ponieważ Siemens już potwierdził eksploatację tej podatności w realnych atakach.
IOCs dla CVE-2026-110936 opublikowane przez Siemensa obejmują 96.62.218[.]59, używany do hostowania ładunków i dowodzenia oraz kontroli; wizardexpensive[.]com, również powiązany z hostowaniem ładunków i C2; oraz 2.27.248[.]127, który był używany do dystrybucji złośliwego pakietu AllMyBasic.msi.
Opublikowane szczegóły dotyczące CVE-2026-110936 także podkreślają kilka artefaktów hosta, które mogą pomóc obrońcom w identyfikacji skompromitowanych systemów. Należą do nich uruchamianie SiemensSoftwareCenter.exe z AppDataLocalPrograms, folder Zasób Dystrybucji SM, pliki nazwane activate.bak lub statinfosta.DB obok wykonywalnego pliku oraz katalog FTSuite zawierający ftc.uml pod AppDataLocal.
Ponieważ binarny plik Siemensa używany przez atakujących jest prawdziwy i cyfrowo podpisany, tradycyjna reputacja pliku może nie wystarczyć do ujawnienia ataku. Zespoły ds. bezpieczeństwa powinny zamiast tego korelować lokalizację pliku wykonywalnego, proces nadrzędny, sąsiadujące pliki DLL, artefakty trwałości oraz wychodzące połączenia sieciowe.
Ograniczenia CVE-2026-110936
Siemens rozwiązał podatność w wersji Software Center 4.0.9.8. Wszystkie wcześniejsze wersje są uznawane za dotknięte, a istniejące instalacje są zaprojektowane do automatycznego otrzymywania załatanego wydania po uruchomieniu aplikacji. Organizacje powinny zweryfikować, czy wdrożone punkty końcowe działają na wersji 4.0.9.8 lub nowszej, zamiast zakładać, że automatyczna aktualizacja została już zakończona.
Organizacje powinny również upewnić się, że oprogramowanie Siemensa jest uzyskiwane wyłącznie za pośrednictwem oficjalnych źródeł firmy Siemens. Firma oświadcza, że złośliwy pakiet zaangażowany w kampanię był dystrybuowany poza jej oficjalną infrastrukturą, i że żaden produkt lub kanał aktualizacji Siemensa nie został skompromitowany.
Zespoły ds. bezpieczeństwa powinny zablokować znaną złośliwą infrastrukturę w resolverach DNS, proxy i zaporach oraz retrospektywnie przeszukać telemetrię punktów końcowych i sieciową pod kątem wcześniejszych połączeń. Obrońcy powinni szczególnie zwrócić uwagę na uruchamianie SiemensSoftwareCenter.exe z AppDataLocalPrograms, zwłaszcza gdy jest uruchamiany przez msiexec.exe, oraz sprawdzić nieoczekiwane pliki DLL umieszczone obok plików wykonywalnych Siemensa poza normalnymi katalogami instalacyjnymi.
Samo monitorowanie na podstawie hashów SiemensSoftwareCenter.exe jest niewystarczające, ponieważ plik używany przez atakujących jest prawomocny. Logika wykrywania powinna zamiast tego koncentrować się na nietypowych ścieżkach wykonania, podejrzanych procesach dziecka lub rodziciela, nieoczekiwanych sąsiadujących DLL, mechanizmach trwałości oraz komunikacji z znaną złośliwą infrastrukturą.
Jeśli zostaną zidentyfikowane wskaźniki kompromisu, odizolować dotknięty punkt końcowy, zakończyć złośliwy proces, usunąć nieautoryzowane wpisy startowe lub zadania zaplanowane oraz zresetować potencjalnie ujawnione hasła. Siemens również zaleca przejrzenie historycznych logów pod kątem połączeń zarówno z aktywną, jak i wcześniej wykorzystywaną infrastrukturą kampanii.
FAQ
Czym jest CVE-2026-110936 i jak działa?
CVE-2026-110936 to podatność o wysokim stopniu istotności związana z side-loadingiem DLL w Siemens Software Center. Aplikacja może ładować DLL z niekontrolowanej ścieżki wyszukiwania, potencjalnie umożliwiając lokalnie uwierzytelnionemu napastnikowi umieszczenie spreparowanego DLL w przeszukiwanym katalogu i wykonanie złośliwego kodu z uprawnieniami dotkniętej aplikacji. W zaobserwowanych atakach ClickFix, cyberprzestępcy pakowali legalnie podpisany plik wykonywalny Siemensa razem ze złośliwymi DLL, aby zaufana aplikacja ładowała kontrolowany przez atakowanych kod.
Kiedy CVE-2026-110936 został po raz pierwszy odkryty?
Dostarczone źródła nie podają dokładnej daty, kiedy podatność została początkowo odkryta. Siemens publicznie ujawnił lukę poprzez poradnik SSA-580366 15 października 2026 i przypisał jej odkrycie researcherowi Jose Oregon z Huntress Labs. Siemens następnie potwierdził aktywną eksploatację 19 października 2026.
Jaki jest wpływ CVE-2026-110936 na systemy?
Pomyślna eksploatacja może skutkować wykonaniem dowolnego kodu z uprawnieniami Siemens Software Center. W zaobserwowanej kampanii, atakujący byli w stanie nadużyć zaufanej, cyfrowo podpisanej aplikacji jako nośnika do egzekucji złośliwych DLL, co utrudniało odróżnienie złośliwej aktywności od legalnego działania oprogramowania.
Czy CVE-2026-110936 może mnie nadal dotknąć w 2026 roku?
Tak. Wersje Siemens Software Center wcześniejsze niż 4.0.9.8 pozostają podatne. Ryzyko jest szczególnie istotne, ponieważ potwierdzono już aktywną eksploatację, a atakujący wykazali, że legalny plik wykonywalny Siemensa może być włączony do łańcuchów dostawy malware opartych na ClickFix.
Jak mogę się chronić przed CVE-2026-110936?
Zaktualizuj Siemens Software Center do wersji 4.0.9.8 lub nowszej i zweryfikuj, czy załatana wersja jest faktycznie zainstalowana. Pobieraj oprogramowanie Siemensa tylko z oficjalnych źródeł, blokuj opublikowaną złośliwą infrastrukturę i poluj na podejrzane uruchamianie SiemensSoftwareCenter.exe z katalogów zapisywalnych przez użytkownika. Organizacje powinny również sprawdzić sąsiadujące pliki DLL, nietypową aktywność msiexec.exe, nieoczekiwane artefakty trwałości i historyczne połączenia sieciowe. Jeśli podejrzewa się kompromis, izoluj punkt końcowy i postępuj zgodnie z ustalonymi procedurami reagowania na incydenty.
