CVE-2026-110936: Siemens Software Centerの脆弱性がClickFix攻撃で悪用

Siemensは、Siemens Software Centerにおける高深刻度のDLLサイドローディングの脆弱性の活発な悪用を確認しました。このデスクトップアプリケーションはSiemensソフトウェアのダウンロード、インストール、アクティベーション、およびアップデートに使用されます。CVE-2026-110936として追跡され、CVSS v4.0で8.4と評価されているこの欠陥は、制御されていないDLL検索パスから生じ、影響を受けたアプリケーションの権限で任意のコード実行につながる可能性があります。

この脆弱性は、SiemensがRomulus配信プラットフォームに関連付けたClickFix活動で既に武器化されています。観察された攻撃では、攻撃者はSiemens Software Centerの正当なデジタル署名済みコピーを攻撃者が制御するDLLファイルと組み合わせて使用しました。Siemensは、そのシステム、製品、公式アップデートチャネルが侵害されていないと強調しました。

CVE-2026-110936の検出コンテンツを求めるセキュリティチームは、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを活用して、脆弱性悪用、DLLサイドローディング、疑わしいプロセス実行、および関連するポストコンプロマイズ行動に対する可視性を強化できます。

クリック 検出を探索 関連する検出コンテンツにアクセスし、新たな悪意のある活動を探すために。CVE-2026-110936の悪用と関連する攻撃パターンを検出するためには、防御者は署名済みのSiemens実行可能ファイルのハッシュだけに頼るのではなく、行動ベースの分析を優先すべきです。

SOC Primeの検出は、複数のSIEM、EDR、およびデータレイク技術に適用可能であり、MITRE ATT&CK®フレームワークと連携しています。セキュリティチームはまた、Prime ArchitectおよびUncoder AIの機能を活用して、新しい脅威インテリジェンスと指標をハンティングクエリに変換し、検出ロジックを洗練し、検出エンジニアリングワークフローを加速できます。

営業へのお問い合わせ

CVE-2026-110936解析

CVE-2026-110936は Siemens Software Centerバージョン4.0.9.8より前のバージョンに影響を与えます。Siemensはこの脆弱性をCWE-427、制御されていない検索パス要素として分類しています。この影響を受けるアプリケーションは、認証されたローカル攻撃者が検索ディレクトリに特別に作成されたライブラリを配置し、Siemens Software Centerの権限でコードを実行する可能性を与え得る不十分に制限された場所をDLLファイルに対して検索できます。

このアクティブなキャンペーンは、どのようにこの弱点がソーシャルエンジニアリング駆動のマルウェアチェーンに組み込まれるかを示しています。攻撃者は正当なデジタル署名を持つ純正Siemens Software Center実行ファイルを、悪意のあるDLLファイルと共に配布しました。Siemensは、観察された攻撃時点での最新リリースであるバージョン3.5.8.7が最初にこれらのヘルパーファイルを検証することなく、実行ファイルの横に置かれたヘルパーファイルをロードしたと述べています。

その結果、正当なSiemens実行ファイル自体は変更されませんでした。代わりに、悪意のある機能は、Siemens Software Centerが開始される際にロードされる攻撃者が供給したDLLファイル内に存在していました。このアプローチにより敵対者は、信頼された署名済みアプリケーションに関連した信頼を悪用しつつ、攻撃者が制御するコードを実行することができます。

Hacker Newsは、攻撃チェーンがAllMyBasic.msiを起動するためにmsiexec.exeを使用し、その後SiemensSoftwareCenter.exeを実行したことを報じています。Siemensはこのキャンペーンに関連する悪意のあるコンポーネントとしてarchive.dllを特定しました。

Siemensは、この活動をRomulus、マルチプラットフォームのClickFix配信オペレーションに帰します。ClickFix攻撃は通常、被害者にフェイクなCAPTCHAや検証指示のような欺瞞的なプロンプトを提示し、ユーザーが自ら悪意あるコマンドをコピーして実行させるよう仕向けます。関連するRomulusの活動はまた、LegionLoaderを配信し、他のベンダーからの正当なサイン済みアプリケーションをDLLサイドローディングに悪用しているのが観察されています。

示されたレポートは、CVE-2026-110936の公開PoCを説明していません。しかし、Siemensは実世界の攻撃での脆弱性の悪用を既に確認しているため、概念実証の入手可能性はこのケースではそれほど重要ではありません。

Siemensが発表したCVE-2026-110936のIOCには、ペイロードホスティングとコマンドアンドコントロールに使用された96.62.218[.]59、ペイロードホスティングとC2に関連するwizardexpensive[.]com、そして悪意のあるAllMyBasic.msiパッケージを配布するのに使用された2.27.248[.]127が含まれています。

CVE-2026-110936に関する公表された詳細は、妥協したシステムを特定するのに役立つホストアーティファクトをいくつか強調しています。これには、AppDataLocalProgramsから実行されるSiemensSoftwareCenter.exe、SM Software Provisioning Serviceフォルダ、実行ファイルの隣にあるactivate.bakまたはstatinfosta.DBという名前のファイル、そしてAppDataLocalの下にftc.umlを含むFTSuiteディレクトリが含まれます。

攻撃者が使用しているSiemensのバイナリは正当でデジタル署名済みのため、従来のファイルの評判だけでは攻撃を暴露できないかもしれません。セキュリティチームは代わりに実行可能ファイルの場所、親プロセス、隣接するDLLファイル、永続性のアーティファクト、および外向きのネットワーク接続を相関させるべきです。

CVE-2026-110936の緩和

SiemensはSoftware Centerバージョン4.0.9.8でこの脆弱性に対処しました。すべての以前のバージョンは影響を受けるとみなされ、既存のインストールはアプリケーションが開始されたときに自動的にパッチリリースを受け取るよう設計されています。組織は、展開されたエンドポイントがバージョン4.0.9.8またはそれ以降を使用中であることを確認し、自動更新が既に完了しているとは想定すべきではありません。

組織はまた、Siemensソフトウェアを公式Siemensソースからのみ入手するようにするべきです。会社は、キャンペーンで関与した悪意のあるバンドルが公式インフラストラクチャ外で配布されたことを示しており、いかなるSiemens製品または更新チャネルも侵害されていないと述べています。

セキュリティチームは、既知の悪意のあるインフラストラクチャをDNSリゾルバー、プロキシ、およびファイアウォールでブロックし、エンドポイントおよびネットワークのテレメトリで以前の接続を遡って検索するべきです。防御者は特に、msiexec.exeを介して起動された場合に、AppDataLocalProgramsから実行されるSiemensSoftwareCenter.exeを探し、通常のインストールディレクトリ外のSiemens実行可能ファイルの隣に配置された予期しないDLLファイルを検査するべきです。

攻撃者によって悪用されるファイルが正当であるため、SiemensSoftwareCenter.exeのハッシュベースの監視のみでは不十分です。検出ロジックは代わりに、異常な実行パス、疑わしい子または親プロセス、予期しない隣接したDLL、持続性のメカニズム、および既知の悪意のあるインフラストラクチャとの通信に集中すべきです。

妥協の指標が特定された場合、影響を受けたエンドポイントを隔離し、悪意のあるプロセスを終了し、許可されていないスタートアップエントリまたはスケジュールされたタスクを削除し、潜在的に暴露されたパスワードをリセットしてください。また、Siemensは、活動中と既に使用されたキャンペーンインフラストラクチャの両方に対する接続の履歴ログを確認することを推奨しています。