Siemens Software Center: DLL-Sideloading über unkontrollierten Suchpfad
Frist für US-Bundesbehörden: 03.11.2026
Zusammenfassung
Siemens Software Center lädt dynamische Linkbibliotheken aus einem unkontrollierten Suchpfad. Ein lokaler, authentisierter Angreifer mit hohen Berechtigungen kann eine speziell präparierte DLL in ein Verzeichnis legen, das die Anwendung durchsucht, und so Code mit den Rechten der Anwendung ausführen. Siemens hat aktive Ausnutzung in einer ClickFix-Kampagne bestätigt, bei der eine echte, signierte Software-Center-Version mit schädlichen DLLs daneben verwendet wurde.
Betroffen
- Siemens Software Center, alle Versionen vor V4.0.9.8
Behoben in
- Version V4.0.9.8 oder neuer. Bestehende Installationen aktualisieren sich beim nächsten Start automatisch.
Umgehung
- Unbekannt. Siemens nennt keinen Workaround; die korrigierte Version einspielen.
Ausnutzung
- Aktiv in freier Wildbahn ausgenutzt, von Siemens am 19. Oktober 2026 bestätigt.
- Am 20. Oktober 2026 in den Katalog der CISA Known Exploited Vulnerabilities aufgenommen.
- Laut Siemens der Romulus-Kampagne (plattformübergreifende ClickFix-Kampagne) zugeordnet. Die Angreifer verwendeten eine signierte Software-Center-Version (laut Berichten 3.5.8.7) mit schädlichen DLLs, verteilt ausserhalb offizieller Kanäle.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Siemens Software Center auf allen Endgeräten auf V4.0.9.8 oder neuer aktualisieren und die Aktualisierung prüfen.
- Siemens-Software nur über offizielle Siemens-Quellen herunterladen.
- Nach SiemensSoftwareCenter.exe suchen, die aus AppData\Local\Programs oder über msiexec gestartet wird, sowie nach unerwarteten Autostart-Einträgen oder geplanten Aufgaben auf Rechnern, auf denen die Software nie installiert war.
- 96.62.218[.]59, wizardexpensive[.]com und 2.27.248[.]127 auf Firewalls, Proxys und DNS blockieren und Logs auf Verbindungen zu diesen prüfen.
- Bei Verdacht auf eine Kompromittierung das System isolieren, den Prozess stoppen, Persistenz-Einträge entfernen und Passwörter zurücksetzen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
DAS-Bodhi/CVE-2026-110936-Siemens-Attack
Quellen der Recherche
- Siemens SSA-580366 Security Advisory cert-portal.siemens.com
- Siemens ProductCERT: Active Exploitation of CVE-2026-110936 productcert.siemens.com
- CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
- Help Net Security: Exploitation of Siemens Software Center vulnerability www.helpnetsecurity.com
- GBHackers: Hackers exploit Siemens Software Center vulnerability gbhackers.com
- UK NHS Cyber Alert CC-4874 digital.nhs.uk
- Canadian Centre for Cyber Security: Siemens Security Advisory AV26-1063 www.cyber.gc.ca
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.