Útočníci přibalili škodlivou knihovnu k pravému programu a využili jeho načítání pomocných souborů. Siemens potvrdil aktivní zneužívání a vydal opravu; podpis programu sám nestačí k posouzení celého instalačního balíčku.

Siemens ProductCERT 19. října 2026 potvrdil aktivní zneužívání CVE-2026-110936 v Siemens Software Center. Útok využívá DLL sideloading: legitimní spustitelný soubor načte knihovnu, kterou útočník umístil do prohledávaného adresáře. Škodlivý obsah tak nemusí být uvnitř samotného podepsaného programu.

Podle Siemensu útočníci použili pravou podepsanou kopii verze 3.5.8.7 a vlastní soubory vedle ní. Program nezměnili. Kampaň výrobce spojuje s platformou Romulus využívající ClickFix, tedy přimění uživatele ke spuštění příkazu pod záminkou ověření či opravy. Siemens současně uvedl, že podle jeho tehdejších znalostí nebyl prolomen žádný jeho systém, produkt ani aktualizační kanál. Je tedy potřeba odlišit chybu programu od napadení oficiální distribuce.

Bulletin SSA-580366 označuje za zranitelné všechny verze před 4.0.9.8. Nová verze problém opravuje a existující instalace se mají aktualizovat při příštím spuštění. Siemens uvádí skóre 8,4 podle CVSS 4.0 a 6,7 podle CVSS 3.1; nejde o dvě hodnocení na totožné metodice. Technický popis pracuje s lokálním autentizovaným útočníkem a se spuštěním kódu v oprávněních dotčené aplikace. Praktická kampaň tuto možnost využívá v balíčku, který si oběť sama spustí.

Mezi vodítka pro vyšetřování výrobce řadí neočekávaný Siemens Software Center v automatickém spouštění, adresář SM Software Provisioning Service v AppData\Local\Programs a proces SiemensSoftwareCenter.exe spuštěný přes msiexec. Zveřejnil také síťové indikátory a otisky škodlivých souborů. Při nálezu známek kompromitace doporučuje izolaci počítače a postup reakce na incident. Kontrola se má zaměřit na umístění a chování programu i jeho okolní soubory; otisk pravého spustitelného souboru útok sám neodliší.