Siemens confirmó la explotación activa en la naturaleza de CVE-2026-110936, una vulnerabilidad de DLL sideloading en Siemens Software Center, la herramienta de descarga, instalación y actualización de software del fabricante. La falla permite cargar bibliotecas maliciosas desde una ruta de búsqueda no controlada bajo un proceso firmado y de confianza, lo que facilita la evasión de controles de seguridad. La campaña Romulus (técnica ClickFix) induce a las víctimas a instalar un paquete legítimo con DLLs maliciosas, comprometiendo la confidencialidad, integridad y disponibilidad del sistema afectado.
CVE y severidad
- CVE-2026-110936 — CVSS v3.1: 6.7; CVSS v4.0: 8.4 (severidad Alta). EPSS: 0,1 % (30 días).
- Componente afectado: Siemens Software Center, que carga DLL desde una ruta de búsqueda no controlada.
- Estado de explotación: explotación activa confirmada en la naturaleza, vinculada a la campaña ClickFix Romulus. No figura aún en el catálogo KEV de CISA.
- Nota: Siemens indica que ningún sistema, producto o canal de actualización propio fue comprometido; el programa legítimo no fue modificado.
Productos afectados
| Fabricante | Producto | Versiones afectadas |
|---|---|---|
| Siemens | Software Center | Todas las versiones anteriores a 4.0.9.8 (incluye 3.5.8.7, abusada por atacantes) |
Solución
Actualizar Siemens Software Center a la versión 4.0.9.8 o posterior; las instalaciones existentes se actualizarán automáticamente en el siguiente inicio.
Recomendaciones
Descargar software de Siemens únicamente desde fuentes oficiales y no ejecutar comandos copiados desde páginas web en el cuadro de diálogo Ejecutar. Dado que el ejecutable firmado es genuino, se recomienda priorizar la detección basada en carpetas y comportamiento.
Workarounds
- Bloquear los indicadores de compromiso: 96.62.218[.]59, wizardexpensive[.]com y 2.27.248[.]127.
- Vigilar la ejecución de SiemensSoftwareCenter.exe desde AppData\Local\Programs tras un lanzamiento mediante msiexec.