Siemens confirma explotación activa de CVE-2026-110936 en Software Center

26 oct 2026, 12:00·2 fuentes

Por SecureCrew Editorial · Criterios editoriales y correcciones

CVE-2026-110936 permite cargar DLL maliciosas junto a una copia legítima de Siemens Software Center. Siemens corrigió el fallo en 4.0.9.8 y confirma explotación activa, sin indicios de que su canal de actualización fuera vulnerado.

En una mesa de mantenimiento, un portátil de pantalla apagada queda junto a una bolsa de evidencia con tres memorias USB sin marcar y una pequeña etiqueta Securecrew.

Siemens confirmó explotación activa de CVE-2026-110936, un fallo de carga lateral de DLL en Siemens Software Center. Afecta a versiones anteriores a 4.0.9.8 y el parche ya está disponible; CISA incluyó el identificador en su catálogo KEV el 20 de octubre. La explotación observada no equivale a un compromiso de los servidores de Siemens: ProductCERT dice que no tiene constancia de una brecha en sus sistemas, productos o canal de actualización.

-SecureCrew dice: una firma válida en el ejecutable no firma por contagio cualquier archivo que alguien deje a su lado.-

El programa confiable cargó bibliotecas ajenas

Según ProductCERT, los atacantes usaron una copia auténtica de Software Center con firma válida y colocaron sus archivos maliciosos en la misma carpeta. La versión 3.5.8.7, vigente durante la actividad descrita, cargaba bibliotecas auxiliares desde su directorio al iniciar sin comprobar su procedencia. Siemens aclara que el programa no fue modificado: el código malicioso estaba en las DLL externas que la versión vulnerable cargaba.

El detalle práctico está en qué protege una firma digital. Esta permite comprobar quién firmó el ejecutable y si ese archivo cambió; no autentica automáticamente las bibliotecas que el programa busca en el disco al arrancar. Por eso una copia original puede funcionar como cargador accidental y mantener su aspecto de software legítimo, mientras otros componentes ejecutan la carga maliciosa. No es una prueba de que el paquete viniera de la descarga oficial.

-SecureCrew dice: el sello autentica el binario; la carpeta completa todavía necesita controles propios.-

Qué observó Siemens en la campaña

ProductCERT atribuye la actividad a Romulus multi-platform ClickFix. El informe identifica como infraestructura activa al publicarse el dominio wizardexpensive[.]com y la IP 96.62.218[.]59, vinculados a alojamiento de payloads y mando y control; una segunda IP, 2.27.248[.]127, ya estaba inactiva y había servido el paquete AllMyBasic.msi. Esos estados describen el momento del informe, así que los equipos defensivos deben validar indicadores antes de bloquearlos hoy.

La etiqueta ClickFix se refiere aquí a engaños que llevan a la víctima a ejecutar instrucciones presentadas como una verificación o arreglo. Siemens recomienda no copiar comandos de una página web en Win+R, el cuadro Ejecutar o PowerShell: una comprobación humana legítima no necesita que el usuario pegue un comando. La recomendación ayuda a cortar el vector social, pero no sustituye la actualización si Software Center vulnerable ya está instalado.

-SecureCrew dice: cuando una web pide pegar un comando para demostrar que no eres un robot, el problema ya no es el CAPTCHA.-

Actualizar y revisar los equipos que ejecutaron la aplicación

Siemens corrigió la vulnerabilidad en Software Center 4.0.9.8 o posterior. Las instalaciones existentes se actualizan automáticamente al volver a iniciar la aplicación. Actualizar cierra la ruta vulnerable, pero no demuestra que una máquina usada antes del parche quedara limpia; una posible ejecución previa requiere revisar los indicadores y la telemetría disponible.

ProductCERT recomienda buscar Software Center en el inicio automático o el Programador de tareas de un equipo donde nunca se instaló, la carpeta “SM Software Provisioning Service” bajo AppData\Local\Programs, archivos activate.bak o statinfosta.DB junto al ejecutable, y el proceso SiemensSoftwareCenter.exe ejecutándose desde una ruta inesperada o iniciado por msiexec. Para EDR, la ruta, el proceso padre y las DLL vecinas son señales más útiles que el nombre o la huella del ejecutable firmado, que era auténtico.

Si aparece uno de esos indicios, Siemens recomienda aislar el equipo, detener el proceso antes de retirar persistencia y seguir el procedimiento de respuesta de la organización. La explotación activa y la inclusión en KEV justifican priorizar el parcheado, aunque el aviso no dice que todos los clientes fueran afectados ni que Siemens sufriera un incidente de distribución. Mantener separados esos dos hechos evita tanto la falsa alarma de “actualizador comprometido” como la falsa tranquilidad de “software firmado”.

Diccionario de la Crew

CVE-2026-110936 — Identificador de la vulnerabilidad de carga lateral de DLL en Siemens Software Center.

Carga lateral de DLL — Técnica que hace que una aplicación cargue una biblioteca dinámica maliciosa colocada donde espera encontrar un componente auxiliar.

KEV — Catálogo de CISA de vulnerabilidades con explotación conocida en el mundo real.

ClickFix — Engaño que intenta que la víctima ejecute instrucciones o un instalador presentado como una verificación o solución.

EDR — Herramienta que registra procesos y actividad de un equipo para detectar y responder a amenazas.