- 西门子确认Software Center中的CVE-2026-110936遭主动利用。
- SecurityWeek称，经过身份验证的本地攻击者可利用恶意DLL，以Software Center的权限执行代码。
- 西门子在Software Center 4.0.9.8版中修复了该漏洞。
西门子于10月19日确认，攻击者正在主动利用CVE-2026-110936，这是西门子Software Center中的DLL侧加载漏洞。
SecurityWeek报道称，经过身份验证的本地攻击者可将恶意DLL放入Software Center会搜索的文件夹，并以该应用的权限执行代码。该漏洞的CVSSv4评分为8.4。
攻击者使用了正版且有效签名的Software Center副本，并将恶意DLL文件放在其旁边。西门子将该活动与Romulus多平台ClickFix活动相关联，并表示据其所知，没有西门子系统、产品或更新渠道遭到入侵。
漏洞使Software Center从搜索文件夹加载恶意DLL
SecurityWeek称，该漏洞存在的原因是Software Center未适当限制其搜索DLL文件的位置。经过身份验证的本地攻击者可将恶意DLL植入其中一个文件夹，并使代码以与Software Center相同的权限执行。
西门子称，攻击者使用了正版且有效签名的副本，并将自己的文件放在其旁边。该公司表示：「据我们所知，没有西门子系统、产品或更新渠道遭到入侵。」
西门子将该活动与Romulus ClickFix活动相关联
西门子将这些攻击与Romulus多平台ClickFix活动相关联。ClickFix是一种社会工程技术，通常会显示网页弹窗，指示查看者运行系统命令以安装恶意软件。
Forescout称，其发现了一个托管名为ROMULUS的控制面板的服务器，结果发现这是一个新的多载荷ClickFix投递平台。
西门子于10月15日发布通告SSA-580366，并在Software Center 4.0.9.8版中修复了该漏洞。现有安装实例会在下次启动时自动更新。
防守方现在要做什么
- 更新至V4.0.9.8或更高版本。
- 阻止96.62.218[.]59、wizardexpensive[.]com和2.27.248[.]127。
- 如果发现：隔离电脑，先停止进程，然后删除启动项和任务，并重置密码。
常见问题
西门子Software Center发生了什么？
西门子确认CVE-2026-110936遭到主动利用。该漏洞是Software Center中的DLL侧加载漏洞。
谁会受到CVE-2026-110936的影响？
受影响的产品是西门子Software Center。西门子在4.0.9.8版中修复了该漏洞。
CVE-2026-110936可能如何被利用？
SecurityWeek称，经过身份验证的本地攻击者可将恶意DLL放入被搜索的文件夹，并以Software Center的权限执行代码。
CVE-2026-110936是否已在野外遭到利用？
是。西门子确认该漏洞存在主动利用。
如何修复西门子Software Center的CVE-2026-110936？
西门子建议将Software Center更新至4.0.9.8或更高版本。现有安装实例会在下次启动时自动更新。
什么是ClickFix活动？
ClickFix是一种社会工程技术，指示查看者运行安装恶意软件的系统命令。
来源
- CISA Adds Six Known Exploited Vulnerabilities to Catalog, CISA原始文件
- SSA-580366, Siemens原始文件
- Active Exploitation of CVE-2026-110936 in Siemens Software Center - Siemens ProductCERT, Siemens原始文件
- ROMULUS: Analysis of a New Multi-Payload ClickFix Delivery Platform - Forescout, Forescout原始文件
- Siemens Software Center Vulnerability Exploited in ClickFix Malware Attacks, SecurityWeek
- ClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan, The Hacker News
- ClickFix, Wikipedia
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| SecurityWeek报道称，威胁行为者利用西门子Software Center漏洞发动恶意软件活动。 | SecurityWeek | 引述 |
| SecurityWeek称，该漏洞存在的原因是Software Center未适当限制其搜索DLL文件的位置。 | SecurityWeek | 引述 |
| SecurityWeek称，经过身份验证的本地攻击者可将恶意DLL放入被搜索的文件夹，并以Software Center的权限执行代码。 | SecurityWeek | 引述 |
| SecurityWeek报道称，西门子在其10月15日的通告中将该漏洞的CVSS v4评分定为8.4。 | Siemens, via SecurityWeek | 引述 |
| 西门子确认CVE-2026-110936遭到主动利用。 | Siemens | 已证实 |
| 西门子在Software Center 4.0.9.8版中修复了该漏洞，并于10月15日发布通告SSA-580366。 | Siemens | 已证实 |
| 现有Software Center安装实例会在下次启动时自动更新。 | Siemens | 已证实 |
| The Hacker News称，该漏洞的CVSS v4评分为8.4。 | The Hacker News | 引述 |
| 攻击者使用了正版且有效签名的西门子Software Center副本，并将恶意DLL文件放在其旁边。 | Siemens | 已证实 |
| 西门子称，据其所知，其系统、产品和更新渠道没有遭到入侵。 | Siemens | 已证实 |
| 西门子将这些攻击与Romulus多平台ClickFix活动相关联。 | Siemens | 已证实 |
| ClickFix是一种社会工程技术，指示查看者运行安装恶意软件的系统命令。 | Wikipedia | 已证实 |
| productcert.siemens.com于2026年10月19日发布其报告。 | productcert.siemens.com | 已证实 |
| forescout.com于2026年10月15日发布其报告。 | forescout.com | 已证实 |
未能核实
- 受影响的组织或设备数量尚未确定
- 攻击者是否成功入侵西门子客户尚未确定
- 西门子活动与所有ROMULUS活动是否由同一运营者实施尚未确定
