Siemens heeft een beveiligingsprobleem in Siemens Software Center gepatcht dat in ClickFix-aanvallen is ingezet. Het gaat om een DLL-sideloading Siemens-kwetsbaarheid (CVE-2026-110936) met een hoge ernstscore. Aanvallers kunnen daarmee kwaadaardige code laten uitvoeren via een toepassing die bibliotheken laadt vanuit een pad dat niet goed is afgedekt.
Omdat de zwakke plek al actief wordt misbruikt, is snel handelen belangrijk: update naar de nieuwste versie, blokkeer bekende kwaadwillende bronnen en controleer of er verdachte processen op systemen draaien.
Wat is er aan de hand bij Siemens Software Center?
De kern van het probleem is dat de applicatie DLL’s laadt via een onbeheerst zoekpad. Daardoor kan een aanvaller een specifieke, aangepaste DLL plaatsen in een map waar de software vervolgens naar zoekt. Zodra de toepassing start, kan de kwaadaardige bibliotheek worden geladen en wordt code uitgevoerd met dezelfde rechten als de getroffen service.
Siemens beschrijft dit als een situatie waarin een aanvaller, mits hij toegang heeft tot een doelomgeving, een schadelijke DLL kan neerzetten op een locatie die binnen het zoekgedrag van de applicatie valt.
CVE-2026-110936: hoge ernst en al misbruik in het wild
De kwetsbaarheid is geregistreerd als CVE-2026-110936 met een CVSS v4-score van 8.4. Siemens geeft aan dat de issue is geëxploiteerd in ClickFix-campagnes.
Het gaat dus niet om een theoretisch scenario. Er zijn al aanvallen waargenomen waarbij een legitieme Siemens-toepassing is gebruikt als “drager” (carrier) om de kwaadaardige DLL te laten starten.
Hoe ClickFix de aanval opzet: een legitieme kopie als lokmiddel
Volgens Siemens hebben aanvallers misbruik gemaakt van een echte versie van Siemens Software Center met een geldige handtekening. Daarbij plaatsten ze er naast de bestanden hun eigen aangepaste DLL, aangeduid als archive.dll.
Het idee hierachter: de aangevallen setup gebruikt een onderdeel dat in de besproken oudere versies helperbestanden uit een eigen map kan laden, zonder die voldoende te controleren. Daarmee wordt het eenvoudiger om met een geplaatste DLL willekeurige code te activeren.
Welke processen worden gebruikt?
In de waarnemingen wordt msiexec.exe gebruikt om een MSI-pakket te starten: AllMyBasic.msi. Dit MSI-bestand voert vervolgens SiemensSoftwareCenter.exe uit.
Die keten wijst op een ClickFix-leveringsmethode waarbij een opslag- of installatiestap wordt gebruikt om uiteindelijk de beoogde uitvoer te triggeren.
Rol van Romulus en kwaadwillende links
De activiteit is gekoppeld aan een ClickFix-leveringsplatform dat in eerdere rapportages is besproken als Romulus. Dit platform zou DLL-sideloading inzetten om andere malware te verspreiden.
Bovendien meldde Huntress dat sommige campagnes gebruikmaken van kwaadaardige ChatGPT Custom GPT’s om slachtoffers naar een nep-URL te sturen. De slachtoffers zouden een ClickFix-lokbestand kopiëren en uitvoeren, waarna PowerShell-code een MSI-installer neerzet. Vervolgens wordt DLL-sideloading gebruikt om uiteindelijk een remote access trojan (RAT) te leveren.
Met andere woorden: de aanval combineert social engineering met een technische omzeiling via een kwetsbare bibliotheeklaadroute.
Patchen: update Siemens Software Center snel
Siemens adviseert organisaties om Siemens Software Center te upgraden naar versie 4.0.9.8 of nieuwer. De update wordt toegepast zodra je de applicatie start zodat de patch kan worden doorgevoerd.
Dit is de meest directe maatregel om de DLL-sideloading Siemens-kwetsbaarheid te mitigeren.
Welke indicatoren van compromis (IOCs) kun je checken?
Siemens deelde de volgende indicatoren:
- 96.62.218[.]59 (payload-hosting en command-and-control)
- wizardexpensive[.]com (payload-hosting en command-and-control)
- 2.27.248[.]127 (distributiekanaal van AllMyBasic.msi)
Daarnaast geeft Siemens concrete observaties voor systeemcontrole:
- Zoek naar SiemensSoftwareCenter.exe die draait vanuit AppData\Local\Programs
- Controleer of SiemensSoftwareCenter.exe is gestart door msiexec.exe
Actieplan voor security teams
Als je te maken hebt met Siemens Software Center in je omgeving, kun je deze stappen prioriteren:
- Update meteen naar versie 4.0.9.8 of hoger.
- Blokkeer de IP-adressen en domeinen uit de IOCs (zoals door Siemens gedeeld).
- Voer endpoint-onderzoek uit op verdachte uitvoer: vooral de combinatie van msiexec.exe die SiemensSoftwareCenter.exe start en uitvoer vanuit AppData\Local\Programs.
- Let op de MSI-keten rond AllMyBasic.msi, omdat die als tussenstap wordt gebruikt.
Door deze signalen te koppelen aan je logging (process creation, network events en file activity) kun je sneller bepalen of je alleen te maken hebt met blootstelling of ook met echte infectie.
Vergelijkbare ClickFix-aanvallen: wat je kunt leren
ClickFix-aanvallen focussen vaak op een combinatie van een lokstap en een technisch mechanisme om payloads te laten draaien. In eerdere meldingen rond ClickFix is bijvoorbeeld ook gezien dat aanvallers misbruik maken van zwaktes of misleiding via valse instappagina’s.
Als je meer wilt weten over hoe dit type aanval zich in de praktijk voordoet, kun je ook lezen:
- ROMULUS ClickFix: malware via valse landingspagina’s
- Siemens Software Center kwetsbaarheid misbruikt
Waarom dit risico nu extra aandacht vraagt
Het meest opvallende aspect is dat een vertrouwde applicatie met een geldige signature wordt gebruikt als onderdeel van de aanval. Dat kan de detectie bemoeilijken: “iets dat lijkt op normaal softwaregebruik” wordt ingezet om een kwaadaardig bibliotheekbestand alsnog tot uitvoering te brengen.
Daarom is het niet genoeg om alleen op handtekeningen of domeinblokkades te leunen. Combineer patchmanagement met gedragsdetectie op endpoints—bijvoorbeeld op ongebruikelijke procesketens en uitvoerlocaties.
Conclusie
De DLL-sideloading Siemens-kwetsbaarheid in Siemens Software Center (CVE-2026-110936) is al gebruikt in ClickFix-campagnes om schadelijke code uit te voeren en mogelijk een remote access trojan te leveren. Update daarom naar 4.0.9.8 of nieuwer, blokkeer de door Siemens genoemde IP’s en domeinen en controleer of SiemensSoftwareCenter.exe verdacht wordt gestart vanuit AppData\Local\Programs door msiexec.exe.
Door meteen te patchen en gerichte endpoint- en netwerkchecks uit te voeren, verklein je de kans dat deze actieve aanval ook jouw omgeving treft.
Bron: https://thehackernews.com/2026/10/clickfix-attackers-exploit-siemens.html
