Siemens heeft een kwetsbaarheid in Software Center verholpen die actief wordt misbruikt in aanvallen met de ClickFix-truc. Het lek, geregistreerd als CVE-2026-110936, kreeg een CVSS v4-score van 8.4 en zit in de manier waarop de software bij het opstarten naar DLL-bestanden zoekt: Software Center controleerde de herkomst van die bestanden niet, waardoor een kwaadaardige DLL in de verkeerde map al genoeg was om code uit te voeren met dezelfde rechten als de applicatie zelf.
Siemens publiceerde de eerste advisory, SSA-580366, op 15 oktober en actualiseerde die twee dagen later met de melding dat versie 4.0.9.8 het probleem oplost. Op 19 oktober volgde een aparte blogpost met een waarschuwing voor actief misbruik. Getroffen is versie 3.5.8.7, destijds de nieuwste release; bestaande installaties werken zichzelf automatisch bij zodra de software opnieuw opstart. Onderzoeker Jose Oregon van Huntress Labs meldde de fout.
Bij de aanvallen gebruiken de daders geen aangepaste Siemens-software, maar een echte, geldig ondertekende kopie van Software Center die ze combineren met hun eigen kwaadaardige DLL in dezelfde map. Verspreid wordt dat via Romulus, een ClickFix-platform dat slachtoffers met een nagemaakte CAPTCHA verleidt om zelf een commando te plakken en uit te voeren, in het Uitvoeren-venster, de verkenner of PowerShell. Dat commando installeert via msiexec een bestand genaamd AllMyBasic.msi, dat op zijn beurt het echte Siemens-programma opstart. Dat laadt vervolgens de voorbereide DLL en zet zo malware op het systeem, waaronder de infostealer LegionLoader.
Voor industriële en OT-omgevingen waar Siemens Software Center op engineering-werkstations draait, is dit een kwetsbaarheid om serieus te nemen, ook al vereist misbruik een lokale, geauthenticeerde stap. ClickFix-aanvallen draaien juist om het zelf laten uitvoeren van dat eerste commando door de gebruiker, zonder dat daar technische kennis voor nodig is. Controleer of de automatische update naar 4.0.9.8 is doorgekomen, neem ClickFix-bewustwording mee in beveiligingstrainingen voor technisch personeel, en zoek in logs naar AllMyBasic.msi of een SiemensSoftwareCenter.exe-proces dat via msiexec is gestart.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Draait uw organisatie Siemens Software Center op engineering- of OT-werkstations? Controleer of de automatische update naar versie 4.0.9.8 al is doorgevoerd, waarschuw technisch personeel expliciet voor ClickFix-trucs met valse CAPTCHA's, en zoek in logs naar AllMyBasic.msi of een SiemensSoftwareCenter.exe-proces dat via msiexec is gestart.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.