Siemens confirmó el 19 de octubre de 2026 que atacantes explotan una falla de Software Center para ejecutar malware mediante una copia auténtica y firmada del programa. La corrección está disponible en la versión 4.0.9.8 o posterior.
La vulnerabilidad, CVE-2026-110936, permite cargar bibliotecas DLL desde una ruta de búsqueda sin controlar. Según el aviso SSA-580366, un atacante local autenticado puede conseguir que su código se ejecute con los permisos de la aplicación. Siemens le asigna una puntuación de 8.4 en CVSS v4.0 y acredita el reporte a Jose Oregon, de Huntress Labs.
Los atacantes llevan su propia copia
Los atacantes distribuyen el ejecutable auténtico junto con DLL maliciosas, que la versión vulnerable carga al iniciarse. Siemens afirma que, hasta donde sabe, sus sistemas, productos y canales de actualización no fueron vulnerados.
La alerta contempla equipos donde Software Center nunca se había instalado. Ese detalle amplía la revisión a copias introducidas por los atacantes, fuera del inventario habitual.
La cronología del aviso distingue tres momentos: su publicación el 15 de octubre, la incorporación de la solución el 17 y la referencia a la explotación activa el 19. Las instalaciones existentes se actualizan automáticamente al abrirse, según Siemens.
Romulus identifica la plataforma de entrega
Siemens vincula la actividad con Romulus, una campaña ClickFix. Esta técnica engaña a la víctima para que ejecute comandos bajo un pretexto, como una falsa verificación de que es una persona.
Forescout describió el 15 de octubre una plataforma Romulus capaz de distribuir distintas cargas maliciosas. Su investigación encontró variantes que empleaban un programa de Stardock y otra ruta que entregaba LegionLoader. La firma mantiene sin identificar a los operadores de la plataforma y la relación de propiedad entre las familias de malware.
Huntress había documentado por separado una campaña ClickFix con ejecutables firmados de Canon y Stardock que terminaba instalando un troyano de acceso remoto. Esos antecedentes analizan otros programas. Por tanto, sus hallazgos no identifican por sí solos la carga final de los casos con Software Center.
Qué señales pide revisar Siemens
La empresa recomienda buscar estas anomalías:
SiemensSoftwareCenter.exeejecutado desdeAppData\Local\Programsy lanzado pormsiexec.- Entradas de Software Center en el inicio o el Programador de tareas de equipos donde nunca se instaló.
Ante señales de compromiso, Siemens recomienda aislar el equipo y activar la respuesta a incidentes.
La actualización corrige las versiones anteriores a la 4.0.9.8. Revisar las copias sospechosas atiende una tarea distinta: localizar posibles infecciones, incluso fuera de las instalaciones legítimas.
