Una falla de severidad alta en Siemens Software Center ya se explota para colar malware en ataques ClickFix

Siemens confirmó el 19 de octubre que una falla de Siemens Software Center, el programa con el que sus clientes instalan y actualizan el software que compraron, ya se usa en ataques. Los atacantes tomaron una copia auténtica del programa, con la firma digital válida de Siemens, y la repartieron junto con archivos maliciosos propios en campañas de ClickFixTécnica de engaño en la que una página muestra una falsa verificación, un error o una guía de instalación que le pide a la persona copiar y ejecutar un comando en su equipo, lo que inicia una infección., la modalidad que muestra una falsa verificación de "no soy un robot" para que la víctima pegue y ejecute un comando en su propia computadora.

"Hasta donde sabemos, no se vulneró ningún sistema, producto ni canal de actualización de Siemens", aclaró la empresa en su blog sobre la explotación. Un día después, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) sumó la falla a su catálogo de vulnerabilidades explotadas conocidas y les dio a los organismos federales de ese país plazo hasta el 3 de noviembre para corregirla.

Un programa firmado que carga lo que encuentra

En simple, el programa confía en los archivos que tiene al lado. Busca bibliotecas de enlace dinámico (DLL), piezas de código auxiliares de Windows, en carpetas que no controla, y carga las que encuentra. Si alguien deja ahí una DLL fabricada a medida, su código corre con los permisos del programa, según el aviso de seguridad SSA-580366.

En lo técnico, es un elemento de ruta de búsqueda no controlado (CWE-427), la base de la carga lateral de DLL. En los papeles exige acceso local y privilegios altos, por eso el sistema común de puntuación de vulnerabilidades (CVSS) le da 8,4, severidad alta, en su versión 4.0, y 6,7, severidad media, en la 3.1. En estas campañas el requisito pesa poco, porque la propia víctima ejecuta el paquete.

El archivo de Siemens no fue modificado. El código malicioso está en las DLL que lo acompañan, y los atacantes eligieron ese programa porque está firmado y es de confianza, explicó la empresa.

Quiénes quedan expuestos

La falla afecta a todas las versiones anteriores a la 4.0.9.8. Según Siemens, la 3.5.8.7, la más reciente en ese momento, cargaba esos archivos sin revisarlos.

Entre las señales de infección, la empresa menciona que Siemens Software Center aparezca en el inicio o en las tareas programadas de una PC que nunca lo tuvo instalado. El paquete malicioso trae su propia copia del programa, así que una computadora con Windows puede terminar infectada sin haber usado nunca un producto de Siemens.

Explotada, con el malware final sin confirmar

El estado es explotada, según Siemens y CISA. Siemens atribuye los ataques a Romulus, una plataforma de ClickFix que reparte distintos programas maliciosos y que Forescout analizó el 15 de octubre sin poder identificar a su operador. Entre sus servidores figura 2.27.248[.]127, la dirección que Siemens señala como canal de distribución del paquete.

Las fuentes no coinciden en qué malware se instalaba al final, y Siemens no lo dice. Forescout vio a Romulus entregar LegionLoader, un cargador que baja otros programas maliciosos, y un instalador que abusaba con la misma técnica de una aplicación firmada de Stardock. Huntress, la empresa de Jose Oregon, el investigador que reportó la falla, había visto ese paquete de Stardock llegar por versiones falsas de ChatGPT y terminar en un troyano de acceso remoto (RAT), con al menos 40 víctimas, según SecurityWeek. Ninguno de esos informes nombra a Siemens. La infraestructura compartida sugiere que el programa se sumó a la misma caja de herramientas, interpretó SecurityWeek.

Qué conviene hacer

Quien usa Siemens Software Center tiene que abrirlo, porque la versión 4.0.9.8 se instala sola al arrancar. El software de Siemens se baja solo de sus sitios oficiales. Y ningún comando que pida una página web se pega en Win+R, en la ventana Ejecutar ni en PowerShell. "Una verificación real de 'no soy un robot' nunca pide esto", advierte Siemens.

Una PC infectada muestra una carpeta SM Software Provisioning Service dentro de AppData\Local\Programs, los archivos activate.bak o statinfosta.DB junto a SiemensSoftwareCenter.exe y una carpeta FTSuite con ftc.uml en AppData\Local. Los equipos de seguridad deberían bloquear 96.62.218[.]59, wizardexpensive[.]com y 2.27.248[.]127. Actualizar no neutraliza la copia vieja que trae el paquete, así que Siemens pide detectar por carpeta y comportamiento, nunca por la huella del archivo, que es auténtico. Ante una infección, recomienda aislar la PC, detener el proceso, quitar la entrada de inicio y la tarea programada y cambiar las contraseñas.

Ficha técnica

CVE: CVE-2026-110936

CVSS 4.0: 8,4 (CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)

CVSS 3.1: 6,7 (CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H)

CWE: CWE-427, elemento de ruta de búsqueda no controlado

Versiones afectadas: todas las anteriores a la 4.0.9.8

Versión corregida: 4.0.9.8 o posterior

Aviso del fabricante: SSA-580366, publicado el 15 de octubre y actualizado el 19 de octubre de 2026

Alta en el catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. de CISA: 20 de octubre de 2026, con plazo federal hasta el 3 de noviembre

Reporte: Jose Oregon, de Huntress