Siemens warnt vor aktiver Ausnutzung im Software Center

Siemens hat am Montag (19.) den Sicherheitsalarm SSA-580366 aktualisiert, um zu berichten, dass die Schwachstelle CVE-2026-110936 im Siemens Software Center aktiv ausgenutzt wird. Die Schwachstelle wurde am 15. Oktober veröffentlicht. Bis Montag wurde im Alarm keine Information zu tatsächlichen Angriffen erwähnt; das Unternehmen fügte anschließend einen Link zu einem Blogbeitrag hinzu, der die Kampagne beschreibt, so SecurityWeek und das Portal Security Online.

Das Software Center ist die Anwendung, die Kunden der industriellen Softwareabteilung von Siemens verwenden, um gekaufte Programme herunterzuladen, zu installieren und zu aktivieren. Die Schwachstelle ist vom Typ DLL-Ladung aus einem nicht kontrollierten Suchpfad und ist als CWE-427 eingestuft: Das Programm schränkt nicht angemessen ein, wo nach Bibliotheken gesucht wird, und lädt Dateien, die sich im eigenen Ordner befinden. Vor Version 4.0.9.8 betroffene Versionen werden automatisch aktualisiert, wenn die Anwendung das nächste Mal geöffnet wird. Stationen, die Wochen lang das Programm nicht ausführen, bleiben bis dahin in der verwundbaren Version, was ein aktives Inventar in Parks mit Hunderten von Ingenieurmaschinen erforderlich macht.

Die signierte Binärdatei als Köder

Der Punkt, der die Risikobewertung ändert, liegt in der Mechanik des Angriffs. Laut der von Siemens veröffentlichten und von SecurityWeek berichteten Beschreibung haben die Kriminellen eine legitime und digital signierte Kopie des Software Centers mit von ihnen bereitgestellten bösartigen DLLs kombiniert. Bei der Ausführung lud das Programm die Bibliotheken aus dem eigenen Ordner und führte den Code der Angreifer aus.

Das bedeutet, dass die Exposition nicht auf Siemens-Kunden beschränkt ist. Der Angreifer bringt die verwundbare ausführbare Datei zusammen mit dem Köder mit, und jede Windows-Maschine kann Ziel sein. Endpoint-Schutztools, die auf Binärdateien vertrauen, die von großen Herstellern signiert sind, neigen dazu, den Prozess fortlaufen zu lassen. Die Technik, bekannt als DLL-Sideloading, ist alt; was sie hier effektiv macht, ist das Vertrauenssiegel eines der größten Industrieunternehmen Europas.

Die Auslieferung erfolgt über ClickFix-Köder, wo das Opfer eine falsche Überprüfung oder Fehlermeldung sieht und dazu verleitet wird, einen Befehl auf ihrem eigenen Computer einzufügen und auszuführen. Siemens gibt an, dass, soweit sie wissen, kein System, Produkt oder Update-Kanal des Unternehmens kompromittiert wurde. Die Warnungen identifizieren die Angreifer, die betroffenen Organisationen oder das Ausmaß der Ausnutzung nicht.

Note 6,7, höheres Risiko

CVE-2026-110936 hat eine Bewertung von 6,7 im CVSS v3.1, was als mittel eingestuft wird. Es handelt sich genau um die Art von Schwachstelle, die in den Warteschlangen von priorisierten Patches aufgrund der Bewertung zurückbleibt. Die Punktzahl spiegelt die Anforderung von lokalem Zugang wider, um die DLL zu platzieren; sie erfasst nicht das Szenario, in dem der Angreifer den Benutzer überzeugt, das Paket auszuführen. Für Sicherheitsteams verstärkt der Fall die Logik, die Priorisierung nach bestätigter Ausnutzung vorzunehmen und nicht nur nach der nominalen Schwere.

Die Problematik ist auch im selben Produkt nicht neu. Dragos hatte bereits in einer vorherigen Warnung von DLL-Hijacking im gleichen Siemens Software Center berichtet. Eine Schwachstelle, die im gleichen Programm wieder auftaucht, deutet darauf hin, dass das Suchmuster nach Bibliotheken der Anwendung eine Überprüfung der Architektur verdient, nicht nur punktuelle Korrekturen.

Deutschland, Kanada und die globale Patch-Warteschlange

Siemens mit Sitz in München ist die Quelle des Patches, aber die schnellste staatliche Reaktion kam aus Kanada. Das Canadian Cyber Security Centre veröffentlichte am 19. Oktober die Warnung AV26-1063, die auf SSA-580366 verweist und empfiehlt, dass Administratoren die Updates anwenden.

Für industrielle Kunden ist der Expositionskanal doppelt. Ingenieure, die das Software Center zur Verwaltung von Lizenzen für Planungs- und Simulationswerkzeuge nutzen, müssen sicherstellen, dass Version 4.0.9.8 installiert ist. Und die Sicherheitsteams jeder Firma, seien sie nun Kunden von Siemens oder nicht, müssen einzelne Kopien der ausführbaren Datei in Download- oder temporären Ordnern als Indikator für ein Kompromittierung behandeln.

Der Vorfall reiht sich in eine Eskalation von ClickFix-Kampagnen ein, die in den letzten Wochen dokumentiert wurde. Am 14. Oktober veröffentlichte Forescout die Analyse von ROMULUS, einem Verteilungspanel, das mehrere bösartige Lasten über ClickFix-Köder ausliefert und das die Firma in sechs IP-Adressen gefunden hat. Siemens hat öffentlich keine Kampagne gegen das Software Center diesem Panel zugeordnet. Die methodische Ähnlichkeit deutet jedoch darauf hin, dass die Betreiber dieser Kampagnen signierte Binärdateien von respektierten Herstellern als Standardteil des Kits auswählen, und die Liste legitimer Programme mit DLL-Ladeanfälligkeiten ist lang genug, damit Siemens nicht die letzte Marke ist, die verwendet wird.