Siemens heeft een ClickFix Siemens kwetsbaarheid gepatcht in Siemens Software Center. In advisories geeft het bedrijf aan dat de fout al wordt misbruikt binnen ClickFix-aanvallen om kwaadaardige code te laten draaien. Daardoor is dit niet alleen “achtergrondnieuws”: het vraagt om snelle technische opvolging en gerichte controle op installaties en processen.
De kwetsbaarheid is gecatalogiseerd als CVE-2026-110936 met een CVSS v4-score van 8,4. Siemens beschrijft dat een aanvaller een DLL kan plaatsen op een plek die de applicatie automatisch doorzoekt. Als de applicatie vervolgens op die map zoekt, kan er arbitrary code execution plaatsvinden met dezelfde rechten als de getroffen service.
Wat is de ClickFix Siemens kwetsbaarheid precies?
De kern van het probleem zit in het DLL sideloading-mechanisme: de applicatie laadt dynamische bibliotheken vanaf een pad dat niet goed wordt afgeschermd. Siemens legt uit dat een (geauthenticeerde) lokale aanvaller een speciaal gemaakte DLL kan neerzetten in een directory die Software Center doorzoekt. Vervolgens wordt die DLL uitgevoerd.
Belangrijk detail: de aanval draait volgens Siemens niet op “willekeurige” sabotage. Er wordt specifiek gewerkt met een vorm van draagprogramma’s (carriers) en een geplaatste DLL zodat de uitvoering ontstaat binnen de context van het vertrouwde programma.
Misbruik in de praktijk: een legitiem programma als “drager”
Naast het patchen van de fout noemt Siemens een concrete aanvalsmethode. Daarbij wordt gebruikgemaakt van een echte Siemens Software Center die is gesigneerd en vertrouwd. De aanvallers plaatsen daar vervolgens hun eigen kwaadaardige bibliotheek, genoemd als archive.dll, naast het echte bestand. Dat zorgt ervoor dat het proces op het verkeerde moment de ongewenste DLL activeert.
Waarom werkt dit? Siemens wijst erop dat versie 3.5.8.7 (de nieuwste versie ten tijde van het genoemde misbruik) helper-files uit de eigen map kon laden zonder ze adequaat te controleren. Daarmee ontstaat ruimte voor misbruik via de zoeklogica van de applicatie.
Van installatie tot remote access trojan: welke stappen vallen op?
Siemens beschrijft dat aanvallers in de waargenomen activiteit msiexec.exe inzetten om een installatiebestand te starten: AllMyBasic.msi. Dat MSI-pakket voert daarna SiemensSoftwareCenter.exe uit. Op die manier wordt de keten opgezet van een ogenschijnlijk legitieme installatiestap naar de uitvoering van het doelprogramma, waarna de sideloading de kwaadwillende payload laat starten.
Deze activiteit is door Siemens toegeschreven aan een ClickFix delivery platform genaamd Romulus. Over Romulus is eerder gerapporteerd dat het wordt ingezet om malware te leveren via DLL sideloading, waaronder ook andere families (zoals “Legion Loader”). Als je wilt kijken naar verwante incidentpatronen rond ClickFix-platforms en DLL-sideloading, lees dan ook: ROMULUS ClickFix: malware via valse commando’s.
Rol van social engineering: ChatGPT Custom GPTs en valse URL’s
Huntress (zoals aangehaald door Siemens) meldt dat sommige campagnes malicious ChatGPT Custom GPTs gebruiken om slachtoffers te sturen naar een nep-URL. Die URL leidt naar een ClickFix-lure die, wanneer het slachtoffer hem kopieert en uitvoert, PowerShell-code draait.
Die PowerShell bepaalt vervolgens de volgende stap: het neerzetten van een MSI-installer die de DLL-sideloading misbruikt. Het einddoel in de keten is het inzetten van een remote access trojan (RAT).
Patchadvies: update naar 4.0.9.8 of later
Siemens heeft de kwetsbaarheid verholpen in Siemens Software Center versie 4.0.9.8 en hoger. Het bedrijf adviseert om de applicatie te updaten en Software Center daarna te starten zodat de update wordt toegepast.
Voor organisaties die risico willen beperken, is dit het belangrijkste eerste blok: zorg dat alle getroffen installaties bijgewerkt zijn. Daarna pas je extra controles toe om te bepalen of er al misbruik heeft plaatsgevonden.
Detectie: welke indicators (IOCs) en gedragingen zijn relevant?
Siemens publiceert indicatoren die kunnen helpen bij opsporing. Je kunt ze gebruiken in je monitoring of threat hunting rond netwerkverkeer en procesuitvoering.
IOCs genoemd door Siemens:
- 96.62.218[.]59 (payload hosting en command-and-control)
- wizardexpensive[.]com (payload hosting en command-and-control)
- 2.27.248[.]127 (distributiekanaal van AllMyBasic.msi)
Daarnaast adviseert Siemens om te letten op de specifieke uitvoering van:
- SiemensSoftwareCenter.exe die draait vanuit AppData\Local\Programs
- die bovendien is gestart door msiexec.exe
Praktisch betekent dit: als je EDR of logging hebt op procesketens, kijk dan naar ongebruikelijke parent-child relaties rond msiexec.exe en Software Center, en naar locaties buiten de verwachte installatiepaden.
Wat kun je nu doen? Concreet herstel en maatregelen
Siemens noemt naast patchen ook stappen om lopende of toekomstige communicatie te blokkeren en verdachte uitvoering te onderzoeken. Hieronder staat een aanpak die je direct kunt vertalen naar je eigen incidentresponsproces.
1) Voer de update uit en bevestig dit technisch
Update naar 4.0.9.8 of later. Controleer daarna via het beheersysteem of via applicatie-info dat het werkelijk is doorgevoerd. Laat gebruikers niet wachten: een snelle uitrol vermindert de kans op herhaling.
2) Blokkeer verdachte IP’s en domeinen
Werk je blokkadelijst bij met de door Siemens genoemde IP-adressen en domeinen. Dit verkleint de kans dat systemen alsnog payloads of commando’s ophalen.
3) Zoek in logs naar het verdachte procespad
Ga na of SiemensSoftwareCenter.exe draait vanuit AppData\Local\Programs en of dit proces is gestart door msiexec.exe. Als je EDR-correlatie hebt, gebruik dan de procesketen als filter.
4) Beoordeel of er al persistence of toegang is
Aangezien de aanvallen zijn gericht op het leveren van een remote access trojan, is het verstandig om na een mogelijke infectie ook te controleren op vervolggedrag, zoals extra services, planningstaken of netwerkverbindingen naar bekende C2-omgevingen.
Wil je daarnaast bredere context over hoe remote access en georkestreerde malwareketens kunnen ontstaan via ClickFix-achtige delivery? Dan is dit artikel relevant: Plex2Shell: kwetsbaarheden misbruikt voor crypto en backdoor. Het gaat om een andere campagne, maar het onderstreept hoe serieus we moeten kijken naar misbruik van softwareketens en payload-uitvoering.
Waarom deze melding belangrijk is voor je organisatie
De combinatie van een hoog CVSS-risico, DLL sideloading en het gebruik van een gesigneerd, vertrouwd programma maakt deze aanvalslijn aantrekkelijk voor criminelen. Als je monitoring te generiek is, kan de uitvoering in eerste instantie lijken op “normale” software-installatie of -start.
Door nu te patchen en tegelijk gericht te zoeken naar de door Siemens genoemde proces- en locatiepatronen, verklein je de kans dat een ClickFix Siemens kwetsbaarheid ongemerkt wordt uitgebuit.
Conclusie
Siemens heeft een ernstige ClickFix Siemens kwetsbaarheid in Siemens Software Center verholpen (CVE-2026-110936). De fout maakt DLL sideloading mogelijk en is volgens Siemens al actief misbruikt om via msiexec.exe en MSI-installatiestappen uiteindelijk een remote access trojan te leveren.
De kernactie is duidelijk: update naar Software Center 4.0.9.8 of hoger, blokkeer de IOC’s uit de advisory en controleer of SiemensSoftwareCenter.exe vanuit AppData\Local\Programs is gestart door msiexec.exe. Daarmee pak je het risico pragmatisch aan voordat het escaleert.
Bron: https://thehackernews.com/2026/10/clickfix-attackers-exploit-siemens.html
