Siemens corrige une faille de Software Center exploitée dans des attaques

Siemens a indiqué le 19 octobre 2026 que CVE-2026-110936, une vulnérabilité affectant son programme Siemens Software Center, était exploitée dans des attaques réelles. La faille est notée 8,4 selon le référentiel CVSS 4.0. L'entreprise a publié la version 4.0.9.8 de Software Center pour la corriger, selon dailysecu.com.

Le mode opératoire repose sur le chargement latéral de DLL : les attaquants ont placé un exécutable Siemens signé numériquement de manière légitime aux côtés d'une DLL malveillante dans un même dossier. Siemens précise n'avoir trouvé aucun indice suggérant que ses propres systèmes ou ses canaux officiels de distribution et de mise à jour auraient été compromis.

Siemens indique que la mise à jour s'applique automatiquement lorsque les utilisateurs existants lancent le programme. L'entreprise a également publié des indicateurs de compromission, dont la DLL malveillante archive.dll et l'installateur malveillant AllMyBasic.msi.

Une campagne liée à Romulus

La campagne a été reliée à une opération de distribution de logiciels malveillants ClickFix baptisée Romulus. La société de cybersécurité Forescout a identifié une infrastructure d'attaque correspondant au serveur de distribution malveillant confirmé par Siemens et a observé la diffusion de logiciels malveillants, dont LegionLoader.

En amont, Huntress avait déjà documenté des cas de chargement latéral de DLL s'appuyant sur des programmes légitimement signés de Canon et de Stardock, dans le cadre d'une attaque ClickFix exploitant des GPT personnalisés de ChatGPT. Huntress avait alors indiqué avoir répondu à au moins 40 attaques liées à ce mode opératoire.