Siemens ProductCERT, 19 Ekim 2026’da Siemens Software Center uygulamasındaki bir DLL yandan yükleme açığının (CVE-2026-110936) sahada kötüye kullanıldığını doğruladı. Siemens’e göre saldırganlar imzası geçerli, gerçek bir Siemens Software Center kopyasını kendi hazırladıkları DLL dosyalarıyla birlikte dağıtıyor. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, açığı 20 Ekim’de Bilinen İstismar Edilen Açıklar (KEV) kataloğuna ekledi.
Ne oldu
Siemens’in güvenlik duyurusuna (SSA-580366) göre açık, uygulamanın yardımcı DLL dosyalarını denetimsiz bir arama yolundan yüklemesinden kaynaklanıyor; yerel erişimi olan bir saldırgan hazırladığı bir DLL’i yerleştirerek uygulamanın yetkileriyle kod çalıştırabiliyor. Siemens’in güvenlik bildirimine göre açığın puanı CVSS 3.1 ölçeğinde 6,7, CVSS 4.0 ölçeğinde 8,4.
Siemens’in blog yazısına göre sahadaki saldırılarda saldırganlar, imzalı ve değiştirilmemiş Siemens programını kendi DLL dosyalarının yanına koyuyor; kötü amaçlı kod Siemens programında değil, saldırganların eklediği DLL dosyalarında. Siemens, etkinliği “Romulus” adlı, ClickFix yöntemini kullanan çok platformlu bir kampanyaya bağlıyor ve web sayfasından kopyalanan bir komutun asla Win+R penceresine yapıştırılmaması uyarısını yapıyor. Siemens, bildiği kadarıyla kendi sistemlerinin, ürünlerinin ya da güncelleme kanalının ihlal edilmediğini belirtiyor.
Kimleri etkiler
Siemens duyurusuna göre Siemens Software Center’ın 4.0.9.8 öncesi tüm sürümleri açıktan etkileniyor. Siemens’e göre programın hiç kurulmadığı bir bilgisayarda başlangıç uygulamalarında ya da Görev Zamanlayıcı’da “Siemens Software Center” girdisi görülmesi de ele geçirilme belirtisi. Siemens ayrıca programın AppData\Local\Programs altından msiexec tarafından başlatılmasını bir süreç belirtisi olarak sayıyor.
Üretici ne öneriyor
Siemens, uygulamanın 4.0.9.8 ya da sonraki bir sürüme güncellenmesini öneriyor; kurulu sürümler bir sonraki açılışta kendiliğinden güncelleniyor. Yazılımın yalnız resmî Siemens kaynaklarından indirilmesi, yazıda verilen IP adresi ve alan adının güvenlik duvarı, vekil sunucu ve DNS düzeyinde engellenip kayıtlarda aranması isteniyor. Siemens, imzalı dosyanın kendisi gerçek olduğu için tespitin dosya parmak izine değil klasör ve davranışa dayanması gerektiğini vurguluyor. Ele geçirilmiş bir bilgisayar için önerilen adımlar: bilgisayarı ağdan ayırmak, önce süreci durdurmak, ardından başlangıç kaydını ve zamanlanmış görevi kaldırmak ve parolaları sıfırlamak.
Göstergelerin tam listesi yan sütundaki bağlantıda; teknik duyuru Siemens SSA-580366 sayfasında.
