Siemens confirma exploração ativa de falha no Software Center

A Siemens atualizou nesta segunda-feira (19) o alerta de segurança SSA-580366 para informar que a vulnerabilidade CVE-2026-110936, no Siemens Software Center, está sendo explorada ativamente. A falha foi divulgada em 15 de outubro. Até segunda, o alerta não mencionava ataques reais; a empresa então acrescentou um link para uma publicação em seu blog que descreve a campanha, segundo a SecurityWeek e o portal Security Online.

O Software Center é o aplicativo que clientes da divisão de software industrial da Siemens usam para baixar, instalar e ativar programas comprados. A falha é do tipo carregamento de DLL a partir de caminho de busca não controlado, classificada como CWE-427: o programa não restringe adequadamente onde procura bibliotecas e carrega arquivos que estejam na própria pasta. Versões anteriores à 4.0.9.8 são afetadas. A correção chega automaticamente a quem já tem o aplicativo instalado, na próxima vez em que ele for aberto. Estações que passam semanas sem executar o programa continuam na versão vulnerável até lá, o que torna um inventário ativo necessário em parques com centenas de máquinas de engenharia.

O binário assinado como isca

O ponto que muda a avaliação de risco está na mecânica do ataque. Segundo a descrição publicada pela Siemens e relatada pela SecurityWeek, os criminosos juntaram uma cópia legítima e com assinatura digital válida do Software Center a DLLs maliciosas fornecidas por eles. Ao ser executado, o programa carregava as bibliotecas da própria pasta e rodava o código dos atacantes.

Isso significa que a exposição não se limita a clientes da Siemens. O atacante leva o executável vulnerável junto com a isca, e qualquer máquina Windows pode ser alvo. Ferramentas de proteção de endpoint que confiam em binários assinados por grandes fabricantes tendem a deixar o processo correr. A técnica, conhecida como DLL sideloading, é antiga; o que a torna eficaz aqui é o selo de confiança de uma das maiores empresas industriais da Europa.

A entrega usa iscas ClickFix, golpes em que a vítima vê uma falsa verificação ou mensagem de erro e é induzida a colar e executar um comando no próprio computador. A Siemens afirma que, até onde sabe, nenhum sistema, produto ou canal de atualização da empresa foi violado. Os avisos não identificam os atacantes, as organizações afetadas nem a escala da exploração.

Nota 6,7, risco maior

A CVE-2026-110936 tem nota 6,7 no CVSS v3.1, faixa considerada média. É exatamente o tipo de falha que fica para trás em filas de correção priorizadas apenas pela nota. A pontuação reflete a exigência de acesso local para plantar a DLL; não captura o cenário em que o atacante convence o próprio usuário a executar o pacote. Para equipes de segurança, o caso reforça a lógica de priorizar por exploração confirmada, e não só pela severidade nominal.

A classe de problema também não é nova no mesmo produto. A Dragos já havia descrito, em alerta anterior, problemas de sequestro de DLL no mesmo Siemens Software Center. Uma fragilidade que reaparece no mesmo aplicativo sugere que o padrão de busca de bibliotecas do aplicativo merece revisão de arquitetura, não apenas correções pontuais.

Alemanha, Canadá e a fila global de correções

A Siemens, sediada em Munique, é a origem da correção, mas a resposta governamental mais rápida veio do Canadá. O Centro Canadense de Segurança Cibernética publicou em 19 de outubro o alerta AV26-1063, citando o SSA-580366 e recomendando que administradores apliquem as atualizações.

Para clientes industriais, o canal de exposição é duplo. Engenheiros que usam o Software Center para gerenciar licenças de ferramentas de projeto e simulação precisam garantir a versão 4.0.9.8. E as equipes de segurança de qualquer empresa, cliente da Siemens ou não, precisam tratar cópias avulsas do executável em pastas de download ou temporárias como indicador de comprometimento.

O episódio se soma a uma escalada de campanhas ClickFix documentada nas últimas semanas. Em 14 de outubro, a Forescout publicou a análise do ROMULUS, um painel de distribuição que entrega múltiplas cargas maliciosas por iscas ClickFix e que a empresa encontrou em seis endereços IP. A Siemens não atribuiu publicamente a campanha contra o Software Center a esse painel. A semelhança de método, porém, indica que os operadores dessas campanhas estão escolhendo binários assinados de fabricantes respeitados como peça padrão do kit, e a lista de programas legítimos com falhas de carregamento de DLL é longa o bastante para que a Siemens não seja a última marca usada.