Siemens investiga activamente falla en Software Center

Siemens actualizó el lunes (19) el alerta de seguridad SSA-580366 para informar que la vulnerabilidad CVE-2026-110936, en el Software Center de Siemens, está siendo explotada activamente. La vulnerabilidad fue divulgada el 15 de octubre. Hasta el lunes, la alerta no mencionaba ataques reales; la empresa añadió un enlace a una publicación en su blog que describe la campaña, según SecurityWeek y el portal Security Online.

El Software Center es la aplicación que los clientes de la división de software industrial de Siemens usan para descargar, instalar y activar programas comprados. La vulnerabilidad es del tipo carga de DLL desde una ruta de búsqueda no controlada, clasificada como CWE-427: el programa no restringe adecuadamente dónde busca bibliotecas y carga archivos que están en su propia carpeta. Las versiones anteriores a la 4.0.9.8 están afectadas. La corrección se aplica automáticamente a aquellos que ya tienen la aplicación instalada, la próxima vez que se abra. Las estaciones que pasan semanas sin ejecutar el programa permanecen en la versión vulnerable hasta entonces, lo que hace necesario un inventario activo en parques con cientos de máquinas de ingeniería.

El binario firmado como cebo

El punto que modifica la evaluación de riesgo está en la mecánica del ataque. Según la descripción publicada por Siemens y reportada por SecurityWeek, los criminales combinaron una copia legítima y con firma digital válida del Software Center con DLLs maliciosas proporcionadas por ellos. Al ejecutarse, el programa cargaba las bibliotecas de su propia carpeta y ejecutaba el código de los atacantes.

Esto significa que la exposición no se limita a clientes de Siemens. El atacante lleva el ejecutable vulnerable junto con el cebo, y cualquier máquina Windows puede ser objetivo. Las herramientas de protección de endpoint que confían en binarios firmados por grandes fabricantes tienden a permitir que el proceso continúe. La técnica, conocida como DLL sideloading, es antigua; lo que la hace efectiva aquí es el sello de confianza de una de las mayores empresas industriales de Europa.

La entrega usa cebos ClickFix, engaños donde la víctima ve una falsa verificación o mensaje de error y es inducida a copiar y ejecutar un comando en su propia computadora. Siemens afirma que, hasta donde sabe, ningún sistema, producto o canal de actualización de la empresa ha sido violado. Los avisos no identifican a los atacantes, las organizaciones afectadas ni la escala de la explotación.

Nota 6.7, mayor riesgo

La CVE-2026-110936 tiene una nota de 6.7 en el CVSS v3.1, rango considerado medio. Es exactamente el tipo de vulnerabilidad que se queda atrás en las colas de corrección priorizadas solo por la nota. La puntuación refleja la exigencia de acceso local para plantar la DLL; no captura el escenario en el que el atacante convence al propio usuario de ejecutar el paquete. Para los equipos de seguridad, el caso refuerza la lógica de priorizar por explotación confirmada, y no solo por la severidad nominal.

La clase de problema tampoco es nueva en el mismo producto. Dragos ya había descrito, en un alerta anterior, problemas de secuestro de DLL en el mismo Software Center de Siemens. Una fragilidad que reaparece en la misma aplicación sugiere que el patrón de búsqueda de bibliotecas del aplicativo merece una revisión de arquitectura, no solo correcciones puntuales.

Alemania, Canadá y la cola global de correcciones

Siemens, con sede en Múnich, es el origen de la corrección, pero la respuesta gubernamental más rápida vino de Canadá. El Centro Canadiense de Seguridad Cibernética publicó el 19 de octubre el alerta AV26-1063, citando el SSA-580366 y recomendando que los administradores apliquen las actualizaciones.

Para los clientes industriales, el canal de exposición es doble. Los ingenieros que utilizan el Software Center para gestionar licencias de herramientas de diseño y simulación deben asegurar la versión 4.0.9.8. Y los equipos de seguridad de cualquier empresa, cliente de Siemens o no, deben tratar copias sueltas del ejecutable en carpetas de descarga o temporales como indicadores de compromiso.

El episodio se suma a una escalada de campañas ClickFix documentadas en las últimas semanas. El 14 de octubre, Forescout publicó el análisis de ROMULUS, un panel de distribución que entrega múltiples cargas maliciosas a través de cebos ClickFix y que la empresa encontró en seis direcciones IP. Siemens no atribuyó públicamente la campaña contra el Software Center a este panel. Sin embargo, la similitud de método indica que los operadores de estas campañas están eligiendo binarios firmados de fabricantes respetados como piezas estándar del kit, y la lista de programas legítimos con fallas de carga de DLL es lo suficientemente larga como para que Siemens no sea la última marca utilizada.