Уязвимость CVE-2026-110936 в Siemens Software Center даёт возможность подложить свою библиотеку и выполнить код с правами приложения. Затронуты все версии ниже V4.0.9.8. Под угрозой рабочие станции, где установлен центр обновлений Siemens: через него распространяется фирменное программное обеспечение вендора. Первые подтверждённые случаи эксплуатации Siemens отметила 19 октября. От публикации бюллетеня 15 октября до сообщения об атаках прошло четыре дня.
CVE-2026-110936 даёт выполнение кода при локальном доступе
Бюллетень SSA-580366 появился 15 октября 2026 года. Через два дня вендор добавил исправление, а 19 октября - ссылку на публикацию об активной эксплуатации. Проблему нашёл Хосе Орегон из Huntress Labs. Оценки в документе различаются: 6.7 балла по CVSS v3.1 и 8.4 по CVSS v4.0.
Приложение загружает динамически подключаемые библиотеки (DLL, исполняемые модули Windows) из каталогов, часть которых не контролирует. Атакующий с локальным доступом копирует в такой каталог специально собранный файл. При следующем запуске Software Center обращается к нему раньше, чем к системной библиотеке. Код исполняется с правами приложения, то есть от имени пользователя, который запустил центр обновлений. Вектор CVSS требует высоких привилегий: запись в каталог поиска обычно доступна администратору или сервисной учётной записи. Поэтому сама по себе уязвимость не открывает удалённый доступ к машине.
Практический сценарий выглядит так. Злоумышленник уже закрепился на хосте и получил права выше обычных. Дальше он кладёт библиотеку рядом с доверенным приложением и ждёт запуска. Подгрузка DLL переживает перезагрузку и не требует отдельного файла в автозагрузке, потому что запуск инициирует сам пользователь. Чаще всего для подмены выбирают каталоги с общими правами записи, включая профили и временные папки. Подтверждение эксплуатации в реальных атаках означает, что техника уже применяется, а не описана только в теории.
Автообновление сокращает окно. Все существующие копии Software Center обновляются до V4.0.9.8 при следующем запуске. Сборку можно скачать вручную со страницы продукта на сайте Siemens. Если обновление не проходит, помогает ограничение сетевого доступа к рабочим станциям с центром обновлений. Общие рекомендации вендора по промышленной безопасности предлагают изолировать такие узлы и следовать инструкциям из руководств по продукту. Дополнительно проверяют каталоги установки на посторонние DLL, появившиеся без ведома администратора.
Уровень риска по CVSS v4.0 - высокий, по CVSS v3.1 - средний. Разница объясняется разными наборами метрик: четвёртая версия строже оценивает последствия выполнения кода. Требование высоких привилегий снижает массовость атак, но не отменяет их. Подгрузка библиотек остаётся удобным способом закрепления, когда доступ к машине уже получен, а обнаружение затруднено: вредоносный файл лежит рядом с легитимным приложением и не выделяется в списке процессов.
Подгрузка DLL держится в арсенале атакующих годами, и уязвимость в Software Center это подтверждает. Срок между раскрытием проблемы и первыми атаками здесь измеряется днями. Бюллетени теперь обновляют постфактум, добавляя пометку об эксплуатации, поэтому дату публикации нельзя считать точкой отсчёта. Проверять нужно и последующие редакции документа, а установку Software Center - на любой рабочей станции, включая те, где центр обновлений не используется постоянно.
Ссылки
