✨︎ Resumen (TL;DR):
- Siemens confirmó el 19 de octubre de 2026 que atacantes explotan CVE-2026-110936 mediante una copia auténtica y firmada de Software Center acompañada de DLL maliciosas.
- La vulnerabilidad tiene una puntuación de 8.4 en CVSS v4.0 y la corrección está disponible en Software Center 4.0.9.8 o posterior.
- La alerta también pide revisar equipos donde Software Center nunca se instaló, porque los atacantes pueden introducir copias fuera del inventario habitual.
Siemens confirmó el 19 de octubre de 2026 que atacantes explotan CVE-2026-110936, una falla de Software Center que permite cargar bibliotecas DLL desde una ruta de búsqueda no controlada. La corrección está disponible en Software Center 4.0.9.8 o posterior, pero la alerta también pide revisar equipos donde la herramienta nunca se instaló.
El aviso SSA-580366 describe una vulnerabilidad que permite a un atacante local autenticado cargar bibliotecas DLL y conseguir que su código se ejecute con los permisos de la aplicación. Siemens asignó a la falla una puntuación de 8.4 en CVSS v4.0 y acreditó el reporte a Jose Oregon, de Huntress Labs.
El método de explotación utiliza una copia auténtica y firmada del programa. Los atacantes distribuyen el ejecutable legítimo junto con DLL maliciosas, que la versión vulnerable carga al iniciar. Siemens afirma que, hasta donde sabe, sus sistemas, productos y canales de actualización no fueron vulnerados.
La alerta no se limita a las instalaciones legítimas. También contempla equipos donde Software Center nunca se había instalado. Ese detalle amplía la revisión a copias introducidas por los atacantes que quedan fuera del inventario habitual.
La solución se incorporó antes de la explotación activa
La cronología del aviso registra tres momentos:
- 15 de octubre: Siemens publicó el aviso.
- 17 de octubre: la empresa incorporó la solución.
- 19 de octubre: Siemens informó sobre la explotación activa.
Las instalaciones existentes se actualizan automáticamente al abrirse, según Siemens. La corrección cubre las versiones anteriores a 4.0.9.8.
Romulus conecta la actividad con ClickFix
Siemens vincula esta actividad con Romulus, una campaña ClickFix. ClickFix es una técnica de engaño que lleva a la víctima a ejecutar comandos bajo un pretexto, como una falsa verificación de que es una persona.
Forescout describió el 15 de octubre una plataforma Romulus capaz de distribuir distintas cargas maliciosas. Su investigación encontró variantes que empleaban un programa de Stardock y otra ruta que entregaba LegionLoader. La firma mantiene sin identificar a los operadores de la plataforma y la relación de propiedad entre las familias de malware.
Huntress había documentado por separado una campaña ClickFix con ejecutables firmados de Canon y Stardock que terminaba instalando un troyano de acceso remoto. Esos antecedentes se refieren a otros programas, así que no identifican por sí solos la carga final de los casos con Software Center.
Las señales que Siemens pide revisar
Siemens recomienda buscar estas anomalías:
- SiemensSoftwareCenter.exe se ejecuta desde
AppData\Local\Programsy lo lanzamsiexec. - Hay entradas de Software Center en el inicio o el Programador de tareas de un equipo donde nunca se instaló la herramienta.
Ante señales de compromiso, Siemens recomienda aislar el equipo y activar la respuesta a incidentes. Actualizar a 4.0.9.8 atiende la vulnerabilidad en versiones anteriores, mientras que revisar copias sospechosas cumple otra función: localizar posibles infecciones, incluso fuera de las instalaciones legítimas.
