En bref
- La CISA a ajouté CVE-2026-110936 au catalogue KEV le 20 octobre 2026 après confirmation d’une exploitation active.
- Toutes les versions de Siemens Software Center antérieures à 4.0.9.8 sont concernées par SSA-580366.
- Le binaire Siemens observé était authentique et non modifié. Les DLL malveillantes étaient ajoutées à côté de lui dans un paquet externe.
- La mise à jour doit être accompagnée d’une recherche des indicateurs et des mécanismes de persistance publiés par Siemens.
Une alerte devenue prioritaire en quelques jours
La vulnérabilité CVE-2026-110936 concerne Siemens Software Center, l’outil qui permet de télécharger, installer et mettre à jour des logiciels Siemens. Le fournisseur a publié l’avis SSA-580366 le 15 octobre 2026. Cet avis classe toutes les versions antérieures à 4.0.9.8 comme vulnérables. Son historique montre l’ajout d’une mesure corrective le 17 octobre, puis d’un renvoi vers une alerte d’exploitation active le 19 octobre.
Le 20 octobre, l’agence américaine CISA a inscrit CVE-2026-110936 dans son catalogue Known Exploited Vulnerabilities, ou KEV. Cette liste rassemble les failles dont l’exploitation réelle a été établie. Pour les organismes civils fédéraux américains concernés par ses directives, la CISA affiche une échéance au 3 novembre 2026. Pour les autres organisations, cette date n’est pas une obligation générale, mais l’ajout au catalogue constitue un signal clair pour accélérer le traitement.
Un logiciel légitime charge le mauvais fichier
Le défaut relève du chargement latéral de DLL, aussi appelé DLL side-loading. Une DLL est une bibliothèque de fonctions qu’un programme Windows charge lorsqu’il a besoin de certains composants. Siemens Software Center cherchait des bibliothèques dans un chemin insuffisamment contrôlé. Un attaquant local déjà authentifié pouvait donc déposer un fichier spécialement conçu dans un dossier consulté par l’application. Au démarrage, le logiciel chargeait cette bibliothèque et exécutait son code avec ses propres droits.
Siemens rattache la faiblesse à la catégorie CWE-427, qui décrit un chemin de recherche non maîtrisé. L’avis lui attribue un score CVSS de 6,7 sur 10 selon la méthode 3.1 et de 8,4 selon la méthode 4.0. Ces évaluations utilisent des critères différents et ne se contredisent pas. Elles ne signifient pas non plus qu’une personne située sur Internet puisse, à elle seule, compromettre une machine. Le scénario documenté suppose déjà un accès local avec des privilèges élevés.
La campagne observée a employé Siemens Software Center 3.5.8.7, qui était la version la plus récente au moment indiqué par le fournisseur. Cette précision décrit l’échantillon utilisé par les attaquants, pas tout le périmètre du défaut. L’avis SSA-580366 couvre bien toutes les versions inférieures à 4.0.9.8.
La campagne Romulus ClickFix détourne la confiance
Siemens associe l’activité à la campagne multiplateforme Romulus ClickFix. Cette désignation décrit une opération observée, mais ne révèle pas l’identité certaine de ses responsables. ClickFix désigne ici un procédé d’ingénierie sociale qui incite une personne à copier une commande depuis une page web vers la boîte Exécuter de Windows ou vers PowerShell, parfois sous prétexte de réussir une vérification humaine. Un contrôle légitime ne demande pas ce type de manipulation.
Le point essentiel est que SiemensSoftwareCenter.exe était un programme Siemens authentique, signé et non modifié. Les attaquants l’ont placé à côté de leurs propres DLL afin de profiter de la confiance accordée à ce binaire. Le code malveillant résidait dans les fichiers ajoutés, pas dans l’exécutable signé. Le paquet piégé a été diffusé en dehors des canaux officiels. Siemens précise qu’à sa connaissance, aucun de ses systèmes, produits ou canaux de mise à jour n’a été compromis.
Une signature valide ne suffit donc pas à déclarer sûr tout le dossier qui contient une application. La provenance du paquet, son emplacement et les fichiers voisins comptent également. Cette distinction évite d’interpréter la campagne comme une compromission de la chaîne de mise à jour Siemens, ce que les sources officielles ne confirment pas.
Des indicateurs précis, mais une photographie datée
À la publication de son alerte le 19 octobre, Siemens indiquait comme actifs l’adresse 96.62.218[.]59 et le domaine wizardexpensive[.]com. Ils servaient à héberger des charges et aux communications de commande et contrôle, c’est-à-dire aux échanges entre le logiciel malveillant et l’infrastructure de l’attaquant. L’adresse 2.27.248[.]127, associée à la distribution du paquet AllMyBasic.msi, était déjà marquée inactive. Ces statuts peuvent évoluer, mais les trois indicateurs restent utiles pour rechercher des connexions passées.
Deux empreintes SHA-256 permettent d’identifier des fichiers connus. Celle de AllMyBasic.msi est f4d7c5321bb0d1bda439304a753bcf9b467b98ca53c7e9493b9c2c3451092e4a. Celle de archive.dll est 3fdcc7d7d049a89711fb31fb236940a1c5a09d899143ffd20c3c41fb1f2cf491. Une empreinte SHA-256 est une valeur calculée à partir d’un fichier et utilisée pour reconnaître une copie identique.
Sur les postes, Siemens cite notamment Software Center dans les applications de démarrage ou le Planificateur de tâches alors que l’outil n’a jamais été installé, un dossier SM Software Provisioning Service sous AppData\Local\Programs, les fichiers activate.bak ou statinfosta.DB près de l’exécutable, ainsi qu’un dossier FTSuite contenant ftc.uml. L’absence de ces éléments n’exclut pas une variante différente ou plus récente.
Mettre à jour sans oublier la recherche d’intrusion
La première mesure consiste à démarrer Siemens Software Center pour déclencher sa mise à jour automatique, puis à confirmer que la version installée est 4.0.9.8 ou ultérieure. Le logiciel peut aussi être téléchargé depuis le site officiel de Siemens. Les copies obtenues sur des sites tiers ou intégrées à des paquets non validés doivent être écartées. Corriger la faille ferme le chemin décrit, mais ne supprime pas une charge qui aurait déjà été exécutée ni une persistance installée auparavant.
Les équipes de défense peuvent bloquer les deux adresses IP et le domaine publiés, puis les rechercher dans l’historique des journaux réseau. Elles doivent aussi examiner les exécutions de SiemensSoftwareCenter.exe depuis AppData\Local\Programs, surtout lorsqu’elles sont lancées par msiexec, et repérer les DLL inattendues placées près de l’exécutable hors du dossier normal. La détection doit porter sur le chemin, les fichiers voisins et le comportement, pas seulement sur l’empreinte du programme Siemens légitime.
Lorsqu’un indice est découvert, Siemens recommande d’isoler le poste, d’arrêter d’abord le processus, puis de supprimer l’entrée de démarrage et la tâche planifiée avant de réinitialiser les mots de passe selon la procédure de réponse à incident. Les sources ne donnent ni nombre de victimes, ni répartition géographique, ni date de début de la campagne. La CISA indique aussi que l’usage dans une campagne de rançongiciel reste inconnu. Cette mention ne prouve ni une implication, ni une absence de rançongiciel.
Ce qui reste à confirmer
Les sources officielles ne donnent ni le nombre de victimes, ni leur répartition, ni la date de début de la campagne, ni l’identité certaine de son opérateur. Les statuts des infrastructures correspondent au 19 octobre 2026 et peuvent changer. Siemens indique qu’aucun de ses systèmes, produits ou canaux de mise à jour n’a été compromis à sa connaissance. L’usage dans des campagnes de rançongiciel est indiqué comme inconnu.