Seguir Siemens ha confirmado la explotación activa de una vulnerabilidad de carga lateral de DLL de alta gravedad en Siemens Software Center, una aplicación de escritorio utilizada para descargar, instalar, activar y actualizar software de Siemens. Clasificada como CVE-2026-110936 y calificada con 8.4 según CVSS v4.0, la falla se origina por una ruta de búsqueda de DLL no controlada y puede llevar a la ejecución de código arbitrario con los privilegios de la aplicación afectada.
La vulnerabilidad ya ha sido armada en la actividad de ClickFix vinculada por Siemens a la plataforma de entrega Romulus. En los ataques observados, los actores de amenazas emparejaron una copia legítima y firmada digitalmente de Siemens Software Center con archivos DLL controlados por atacantes en lugar de modificar el propio ejecutable de Siemens. Siemens enfatizó que sus sistemas, productos y canales oficiales de actualización no fueron violados.
Los equipos de seguridad que buscan contenido de detección de CVE-2026-110936 pueden aprovechar la Plataforma de Inteligencia de Detección Nativa de IA de SOC Prime para fortalecer la visibilidad en la explotación de vulnerabilidades, carga lateral de DLL, ejecución de procesos sospechosos y comportamiento relacionado posterior a la intrusión.
Hacer clic Explorar Detecciones para acceder a contenido de detección relevante y buscar actividad maliciosa emergente. Para detectar la explotación de CVE-2026-110936 y patrones de ataque relacionados, los defensores deben priorizar los análisis basados en el comportamiento en lugar de confiar exclusivamente en hashes del ejecutable firmado de Siemens.
Las detecciones de SOC Prime se pueden aplicar a través de múltiples tecnologías SIEM, EDR y Data Lake y se alinean con el marco MITRE ATT&CK®. Los equipos de seguridad también pueden aprovechar las capacidades de Prime Architect y Uncoder AI para transformar la inteligencia de amenazas reciente e indicadores en consultas de búsqueda, refinar la lógica de detección y acelerar los flujos de trabajo de ingeniería de detección.
Análisis de CVE-2026-110936
CVE-2026-110936 afecta versiones de Siemens Software Center anteriores a 4.0.9.8. Siemens clasifica la vulnerabilidad como CWE-427, Elemento de Ruta de Búsqueda No Controlada. La aplicación afectada puede buscar en una ubicación insuficientemente restringida para archivos DLL, lo que potencialmente permite a un atacante local autenticado colocar una biblioteca especialmente diseñada en un directorio buscado y ejecutar código con los privilegios de Siemens Software Center.
La campaña activa demuestra cómo esta debilidad puede ser incorporada en una cadena de malware impulsada por ingeniería social. Los atacantes distribuyeron un ejecutable genuino de Siemens Software Center con una firma digital válida junto con archivos DLL maliciosos. Siemens afirmó que la versión 3.5.8.7, la última lanzada en el momento de los ataques observados, cargaba archivos auxiliares ubicados junto al ejecutable sin validarlos primero.
Como resultado, el ejecutable legítimo de Siemens en sí no fue modificado. En cambio, la funcionalidad maliciosa residía dentro de archivos DLL proporcionados por atacantes que se cargaron cuando se inició Software Center. Este enfoque permite a los adversarios abusar de la confianza asociada con una aplicación legítimamente firmada mientras ejecutan código controlado por el atacante.
The Hacker News informa que la cadena de ataque utilizó msiexec.exe para lanzar AllMyBasic.msi, que posteriormente ejecutó SiemensSoftwareCenter.exe. Siemens identificó archive.dll como uno de los componentes maliciosos asociados con la campaña.
Siemens ha atribuido la actividad a Romulus, una operación de entrega de ClickFix multiplataforma. Los ataques de ClickFix típicamente presentan a las víctimas indicaciones engañosas, como instrucciones de CAPTCHA o verificación falsas, que persuaden a los usuarios a copiar y ejecutar comandos maliciosos por sí mismos. También se ha observado actividad relacionada con Romulus entregando LegionLoader y abusando de aplicaciones legítimamente firmadas de otros proveedores para carga lateral de DLL.
Los informes proporcionados no describen una prueba de concepto pública de CVE-2026-110936. Sin embargo, la disponibilidad de una prueba de concepto es menos importante en este caso porque Siemens ya ha confirmado la explotación de la vulnerabilidad en ataques del mundo real.
Los IOCs de CVE-2026-110936 publicados por Siemens incluyen 96.62.218[.]59, utilizado para alojamiento de cargas útiles y comando y control; wizardexpensive[.]com, también asociado con alojamiento de cargas útiles y C2; y 2.27.248[.]127, que se utilizó para distribuir el paquete malicioso AllMyBasic.msi.
Los detalles publicados para CVE-2026-110936 también destacan varios artefactos de host que pueden ayudar a los defensores a identificar sistemas comprometidos. Estos incluyen SiemensSoftwareCenter.exe ejecutándose desde AppDataLocalPrograms, una carpeta de Servicio de Aprovisionamiento de Software SM, archivos llamados activate.bak o statinfosta.DB junto al ejecutable, y un directorio FTSuite que contiene ftc.uml bajo AppDataLocal.
Debido a que el binario de Siemens utilizado por los atacantes es genuino y firmado digitalmente, la reputación tradicional de archivos por sí sola puede fallar para exponer el ataque. Los equipos de seguridad deben correlacionar en su lugar la ubicación del ejecutable, el proceso padre, los archivos DLL adyacentes, los artefactos de persistencia y las conexiones de red salientes.
Mitigación de CVE-2026-110936
Siemens resolvió la vulnerabilidad en la versión 4.0.9.8 de Software Center. Todas las versiones anteriores se consideran afectadas, y las instalaciones existentes están diseñadas para recibir la versión parcheada automáticamente cuando se inicia la aplicación. Las organizaciones deben verificar que los puntos finales desplegados están ejecutando la versión 4.0.9.8 o más reciente en lugar de asumir que la actualización automática ya se ha completado.
Las organizaciones también deben asegurarse de que el software de Siemens se obtenga exclusivamente a través de fuentes oficiales de Siemens. La empresa afirma que el paquete malicioso involucrado en la campaña se distribuyó fuera de su infraestructura oficial y que ningún producto o canal de actualización de Siemens fue comprometido.
Los equipos de seguridad deben bloquear la infraestructura maliciosa conocida en los resolutores DNS, proxies y cortafuegos, y buscar retrospectivamente en la telemetría de red y de puntos finales conexiones anteriores. Los defensores deben especialmente buscar SiemensSoftwareCenter.exe ejecutándose desde AppDataLocalPrograms, particularmente cuando es lanzado a través de msiexec.exe, e inspeccionar archivos DLL inesperados colocados junto a ejecutables de Siemens fuera de los directorios de instalación normales.
La monitorización basada en hash de SiemensSoftwareCenter.exe por sí sola es insuficiente porque el archivo abusado por los atacantes es legítimo. La lógica de detección debe enfocarse en cambio en rutas de ejecución anómalas, procesos hijos o padres sospechosos, DLL adyacentes inesperados, mecanismos de persistencia y comunicaciones con infraestructura maliciosa conocida.
Si se identifican indicadores de compromiso, aísle el punto final afectado, termine el proceso malicioso, elimine entradas de inicio no autorizadas o tareas programadas y restablezca contraseñas potencialmente expuestas. Siemens también recomienda revisar los registros históricos para conexiones tanto a la infraestructura de campaña activa como a las previamente utilizadas.
FAQ
¿Qué es CVE-2026-110936 y cómo funciona?
CVE-2026-110936 es una vulnerabilidad de carga lateral de DLL de alta gravedad en Siemens Software Center. La aplicación puede cargar DLL desde una ruta de búsqueda no controlada, lo que potencialmente permite a un atacante local autenticado colocar una DLL diseñada en un directorio buscado y ejecutar código malicioso con los privilegios de la aplicación afectada. En los ataques observados de ClickFix, los actores de amenazas empaquetaron un ejecutable firmado legítimo de Siemens junto con DLLs maliciosas para que la aplicación de confianza cargara código controlado por los atacantes.
¿Cuándo se descubrió por primera vez CVE-2026-110936?
Las fuentes proporcionadas no aportan la fecha exacta en la que se descubrió inicialmente la vulnerabilidad. Siemens divulgó públicamente la falla a través del aviso SSA-580366 el 15 de octubre de 2026 y acreditó al investigador de Huntress Labs, José Oregon, con el reporte. Siemens confirmó posteriormente la explotación activa el 19 de octubre de 2026.
¿Cuál es el impacto de CVE-2026-110936 en los sistemas?
La explotación exitosa puede resultar en la ejecución de código arbitrario con los privilegios de Siemens Software Center. En la campaña observada, los atacantes pudieron abusar de una aplicación confiable y firmada digitalmente como portadora para la ejecución de DLL maliciosas, haciendo que la actividad maliciosa sea más difícil de distinguir del comportamiento legítimo del software.
¿Puede CVE-2026-110936 aún afectarme en 2026?
Sí. Las versiones de Siemens Software Center anteriores a 4.0.9.8 siguen siendo vulnerables. El riesgo es particularmente significativo porque ya se ha confirmado la explotación activa y los atacantes han demostrado que el ejecutable legítimo de Siemens puede ser incorporado en cadenas de entrega de malware impulsadas por ClickFix.
¿Cómo puedo protegerme de CVE-2026-110936?
Actualice Siemens Software Center a la versión 4.0.9.8 o posterior y verifique que la versión parcheada esté realmente instalada. Descargue el software de Siemens solo de fuentes oficiales, bloquee la infraestructura maliciosa publicada y busque ejecuciones sospechosas de SiemensSoftwareCenter.exe desde directorios que pueden ser escritos por el usuario. Las organizaciones también deben inspeccionar archivos DLL vecinos, actividad inusual de msiexec.exe, artefactos de persistencia inesperados y conexiones de red históricas. Si se sospecha de un compromiso, aísle el punto final y siga los procedimientos establecidos de respuesta a incidentes.
