CVE-2026-110936 : Siemens DLL hijacking CVSS 8.4 ClickFix OT

Les faits

Le 15 octobre 2026, Siemens a publié un advisory de sécurité révélant une vulnérabilité de DLL side-loading (détournement de bibliothèque dynamique) dans Siemens Software Center (SSC), l'outil officiel de téléchargement, d'installation, d'activation et de mise à jour des logiciels Siemens pour environnements industriels. La vulnérabilité, référencée CVE-2026-110936, a reçu un score CVSS v4.0 de 8.4 (High) et un score CVSS v3.1 de 6.7 (Medium). Siemens a mis à jour son advisory le 17 octobre 2026 pour annoncer que la version V4.0.9.8 résolvait le problème, puis a publié un billet d'alerte sur l'exploitation active le 19 octobre.

La divulgation initiale a été suivie d'une alerte critique : dès le 19 octobre 2026, des chercheurs en sécurité de plusieurs éditeurs de threat intelligence, dont SOCPrime et Help Net Security, ont confirmé que CVE-2026-110936 était activement exploitée dans le cadre de campagnes ClickFix liées à la plateforme malveillante Romulus. La CISA a ajouté la vulnérabilité à son catalogue Known Exploited Vulnerabilities (KEV) le 20 octobre 2026, avec une deadline de remédiation fixée au 10 novembre 2026 pour les agences fédérales américaines.

Sur le plan technique, la vulnérabilité réside dans un chemin de recherche de DLL non contrôlé (uncontrolled DLL search path, CWE-427) dans Siemens Software Center. Lorsque SSC est lancé — notamment lors des mises à jour automatiques de logiciels Siemens — le programme charge des bibliothèques DLL depuis des répertoires qui peuvent être écrits par des utilisateurs sans droits administrateurs. Un attaquant ayant un accès local limité à la machine peut placer une DLL malveillante dans ces répertoires, qui sera chargée et exécutée avec les privilèges du processus SSC, potentiellement SYSTEM sur Windows.

La particularité de la campagne d'exploitation observée est l'utilisation de la technique ClickFix pour l'accès initial, combinée à la plateforme Romulus pour la distribution des malwares. ClickFix est une technique d'ingénierie sociale affichant une fausse page d'erreur ou notification invitant l'utilisateur à copier-coller et exécuter une commande PowerShell ou cmd dans une fenêtre administrateur pour « corriger » un problème fictif. Cette commande télécharge et exécute la charge malveillante initiale, qui met ensuite en place l'exploitation de CVE-2026-110936.

Dans les attaques documentées par Infosecurity Magazine et The Hacker News, les acteurs utilisent une copie légitime et signée numériquement de Siemens Software Center comme vecteur d'exécution secondaire. Plutôt que de modifier l'exécutable SSC lui-même — ce qui déclencherait les contrôles d'intégrité et les solutions EDR — ils placent des DLL malveillantes dans les chemins non contrôlés chargés par le processus. Cette approche sophistiquée permet de contourner de nombreuses défenses basées sur la vérification des signatures numériques éditeur.

Cette tactique est particulièrement efficace dans les environnements industriels pour plusieurs raisons. Premièrement, l'exécutable Siemens Software Center est signé numériquement par Siemens AG, lui conférant une confiance implicite dans les politiques de sécurité de nombreuses organisations industrielles. Deuxièmement, les solutions EDR peuvent ne pas détecter ce comportement car le processus parent (SSC.exe signé Siemens) est considéré comme légitime. Troisièmement, dans les environnements OT (Operational Technology), les règles de sécurité sont souvent moins strictes qu'en IT, et les mises à jour de logiciels industriels sont fréquemment autorisées sans inspection approfondie du comportement DLL.

Selon l'analyse de SOCPrime, les RATs déployés dans le cadre de cette campagne sont configurés pour maintenir une persistance sur le système compromis, exfiltrer des données sensibles, et permettre un accès à distance discret aux opérateurs de la campagne. Les cibles observées incluent principalement des entreprises des secteurs industriel, de l'énergie, de la fabrication et des infrastructures critiques utilisant des logiciels Siemens dans leurs environnements de contrôle-commande (SCADA, DCS, HMI). Les systèmes comme SIMATIC WinCC, TIA Portal, SIMATIC Step 7 et d'autres solutions de contrôle industriel sont potentiellement mis en péril si Siemens Software Center est présent sur les mêmes postes ou réseaux.

Le contexte industriel de cette vulnérabilité mérite une attention particulière en Europe. Siemens Software Center est déployé dans des milliers d'installations industrielles françaises et européennes. Une compromission réussie dans un environnement OT pourrait, dans le pire des cas, ouvrir la voie à des attaques ciblant les systèmes de contrôle physiques eux-mêmes — un scénario similaire aux attaques sur des infrastructures énergétiques documentées par l'ANSSI ces dernières années. La sensibilisation des équipes OT/IT aux techniques ClickFix est donc un complément indispensable à la mise à jour logicielle, car même les environnements avec de bonnes pratiques techniques peuvent être compromis si les employés ne reconnaissent pas ce vecteur d'ingénierie sociale spécifique.

Impact et exposition

Toute organisation utilisant Siemens Software Center dans une version antérieure à V4.0.9.8 est exposée. La vulnérabilité nécessite un accès local initial au système pour placer la DLL malveillante, ce qui en fait principalement un vecteur d'élévation de privilèges ou de persistance post-compromission initiale. Cependant, combinée avec les techniques ClickFix documentées, la chaîne d'exploitation complète peut être initiée à distance via l'ingénierie sociale ciblée sur les employés des équipes industrielles.

Les secteurs les plus exposés sont l'industrie manufacturière, l'énergie, les utilities, le traitement des eaux, et tout opérateur d'infrastructure critique utilisant des équipements Siemens. Dans ces environnements, les postes de travail accédant à l'interface HMI ou SCADA sont des cibles de haute valeur. La compromission d'un seul poste peut permettre à un attaquant expérimenté de se propager vers les systèmes de contrôle industriels (mouvement latéral OT).

Les campagnes ClickFix observées sont souvent très ciblées (spear-phishing), avec des pages leurres imitant des portails Siemens, des portails RH ou des systèmes de ticketing internes. Même les employés techniquement aguerris peuvent être victimes d'une page ClickFix bien construite si elle reproduit fidèlement l'interface d'un outil interne connu.

Recommandations immédiates

• Mettre à jour Siemens Software Center vers V4.0.9.8 ou supérieure — Siemens Security Advisory SSA-2026-110936 disponible via le portail Siemens ProductCERT
• Inventorier toutes les installations de Siemens Software Center et vérifier les versions installées sur l'ensemble du parc
• Former et alerter les équipes OT/IT sur la technique ClickFix : ne jamais exécuter de commandes PowerShell/cmd copiées depuis une page web ou un email
• Configurer des politiques AppLocker ou WDAC pour contrôler le chargement de DLL non signées par des processus industriels critiques
• Surveiller les logs Windows pour des chargements de DLL inhabituels par des processus Siemens (Sysmon EventID 7, ImageLoaded hors répertoires standards)
• Indicateurs de compromission : DLL non signées dans les répertoires d'installation SSC, connexions réseau inhabituelles depuis SSC.exe, commandes PowerShell encodées dans les logs de démarrage de session