Siemens Software Center CVE-2026-110936: DLL sideloading sfruttato nella campagna ClickFix Romulus, a rischio anche i PC senza software Siemens

Siemens ProductCERT ha pubblicato il 15 ottobre 2026 l'advisory SSA-580366 per la CVE-2026-110936 di Siemens Software Center, l'applicazione desktop per Windows e Linux con cui si scaricano, installano, attivano e gestiscono i prodotti software Digital Industries dell'azienda, e il 19 ottobre ha confermato che la falla è oggetto di sfruttamento attivo. È un DLL sideloading (CWE-427, uncontrolled search path element) con CVSS 8.4 nella v4.0 e 6.7 nella v3.1, entrambi calcolati da Siemens: il programma carica librerie dinamiche da un percorso di ricerca non controllato, e un attaccante locale autenticato che riesce a collocarvi una DLL predisposta esegue codice con i privilegi dell'applicazione. La versione correttiva V4.0.9.8 è entrata nell'advisory con l'aggiornamento del 17 ottobre; il 19 ottobre ACN ha pubblicato il proprio alert e lo ha aggiornato in giornata per lo sfruttamento rilevato in rete, rivedendo l'impatto sistemico, ora critico. Il 20 ottobre la CISA ha inserito la CVE nel catalogo KEV, con termine di remediation fissato al 3 novembre. Sulla carta è una falla locale, con un punteggio v3.1 di fascia media; nella campagna ClickFix ricostruita da Siemens, però, la copia vulnerabile del programma la portano con sé gli attaccanti.

Nel post del 19 ottobre Siemens ProductCERT descrive la catena. Fuori dai canali ufficiali circola un pacchetto di installazione, AllMyBasic.msi, che contiene una copia genuina e firmata di Siemens Software Center V3.5.8.7, all'epoca l'ultima versione disponibile, affiancata dalle DLL degli attaccanti, fra cui archive.dll. Quella copia carica i file dalla propria cartella senza verificarli ed esegue così il codice malevolo; fra i segni d'infezione Siemens indica l'eseguibile in esecuzione dalla cartella dei programmi del profilo utente, avviato da msiexec. Il programma Siemens non è stato modificato e, per quanto risulta all'azienda, nessun suo sistema, prodotto o canale di aggiornamento è stato violato. Il primo passo, come in ogni campagna ClickFix, lo compie la vittima, convinta da una pagina web a incollare ed eseguire un comando. Siemens attribuisce l'attività alla campagna ClickFix multipiattaforma Romulus e dichiara di aver coinvolto fornitori di soluzioni EDR e autorità per lo scambio di informazioni, senza indicare quando siano iniziati gli attacchi né chi li abbia rilevati. La vulnerabilità era stata segnalata a Siemens da Jose Oregon di Huntress Labs, accreditato nell'advisory.

Romulus era stata descritta il 15 ottobre da Forescout Vedere Labs come una piattaforma di consegna ClickFix riutilizzabile e capace di distribuire più payload, individuata durante la gestione di un incidente: fra i carichi analizzati c'erano il loader LegionLoader e un pacchetto MSI che sfruttava il sideloading attraverso DeElevate di Stardock, e l'operatore resta sconosciuto. Il legame con la catena Siemens poggia sull'attribuzione dell'azienda e su un indirizzo in comune: l'host da cui veniva distribuito AllMyBasic.msi compare fra i sei che Forescout attribuisce alla piattaforma, senza averlo analizzato singolarmente, e l'analisi di Forescout non cita il programma Siemens. Lo stesso schema, un MSI che affianca DLL malevole a un eseguibile firmato di un vendor noto, ricorre nell'indagine pubblicata da Huntress il 28 settembre su una campagna ClickFix partita da Custom GPT di ChatGPT, con eseguibili Canon e poi Stardock e almeno 40 incidenti indagati. Sul carico finale della catena con il programma Siemens mancano per ora dettagli pubblici. La tecnica è quella che avevamo descritto in un nostro precedente alert del 10 aprile sulla compromissione di CPUID.com (CPU-Z e HWMonitor), un eseguibile legittimo e firmato con accanto una DLL malevola; lì però era stato compromesso il canale ufficiale di download, qui i canali di Siemens risultano intatti e il pacchetto viaggia per conto suo. Dopo il caso degli installer ufficiali con malware firmato dal vendor, raccontato in un nostro precedente alert del 28 maggio sulla CVE-2026-8398 di DAEMON Tools Lite, è un'altra conferma che una firma valida garantisce l'autore di un file e nient'altro.

Non sono stati resi noti vittime, settori o paesi colpiti, Italia compresa. A doversene preoccupare sono anzitutto le organizzazioni che usano Siemens Software Center per gestire il software industriale Siemens: la V4.0.9.8 si installa da sola al successivo avvio del programma, che quindi va aperto, oppure si scarica dal sito ufficiale. Il discorso riguarda però anche i SOC e i team IT di organizzazioni che di Siemens non hanno nulla, perché fra i segni d'infezione l'azienda indica proprio la comparsa del programma fra le app di avvio o nell'Utilità di pianificazione di un PC che non l'ha mai avuto installato. L'aggiornamento chiude la falla nelle installazioni legittime; contro la campagna, che si porta dietro la propria copia della V3.5.8.7, Siemens raccomanda di cercare su cartelle e comportamento anziché sull'impronta del file, che è quella del programma genuino. Per tutti gli utenti vale infine l'avvertenza su ClickFix, nelle parole di Siemens: una vera verifica «non sono un robot» non chiede mai di incollare un comando nella finestra Esegui o in PowerShell.

• Versioni affette: Siemens Software Center, applicazione desktop per Windows e Linux, tutte le versioni precedenti alla V4.0.9.8. Nella campagna è stata usata la V3.5.8.7, all'epoca l'ultima disponibile, e gli indicatori pubblicati da Siemens riguardano postazioni Windows.
• Azione raccomandata: avviare Siemens Software Center per ricevere l'aggiornamento automatico alla V4.0.9.8, oppure scaricare l'ultima versione dalla pagina ufficiale Siemens, e verificare la versione effettivamente installata; su tutte le postazioni Windows, comprese quelle senza software Siemens, cercare i segni d'infezione indicati da Siemens: voci di avvio o attività pianificate «Siemens Software Center» su PC dove il programma non è mai stato installato, una cartella SM Software Provisioning Service fra i programmi del profilo utente, i file activate.bak o statinfosta.DB accanto all'eseguibile, una cartella FTSuite con il file ftc.uml, SiemensSoftwareCenter.exe in esecuzione dalla cartella AppData del profilo e avviato da msiexec, connessioni verso gli indirizzi segnalati; costruire le regole di rilevamento su cartelle e comportamento anziché sull'hash dell'eseguibile Siemens, che è genuino; bloccare su firewall, proxy e DNS l'indirizzo IP e il dominio ancora attivi pubblicati nella sezione «Indicators of Compromise» del post Siemens e cercare nei log le connessioni verso tutti gli indicatori, compreso il canale di distribuzione ormai inattivo; cercare sugli endpoint, con EDR o antivirus, gli hash di AllMyBasic.msi e archive.dll; per le postazioni sospette seguire la procedura di verifica e le contromisure indicate nello stesso post; ricordare agli utenti di non incollare mai nella finestra Esegui o in PowerShell comandi presi da una pagina web e valutare di limitare con il controllo applicativo l'esecuzione di installer e programmi dalle cartelle del profilo utente.

Fonti: ACN, Siemens, Siemens ProductCERT, CISA, Forescout, Huntress