--- adresse: "https://qvestcon.com/dora-update-markus-junge/siemens-software-center-luecke-wird-aktiv_c2e34033/" titel: "Siemens Software Center: Lücke wird aktiv…" beschreibung: "Siemens warnt vor aktiver Ausnutzung der Schwachstelle CVE-2026-110936 (CVSS 8,4) im Siemens Software Center.…" sprache: "de-DE" stand: "2026-10-28" --- Qvestcon News # Siemens Software Center: Lücke wird aktiv ausgenutzt Siemens warnt vor aktiver Ausnutzung der Schwachstelle CVE-2026-110936 (CVSS 8,4) im Siemens Software Center. Betroffen sind alle Versionen vor V4.0.9.8. Angreifer legen eigene Pro­gramm­bi­blio­the­ken (DLL-Dateien) neben die signierte Anwendung, die diese beim Start ungeprüft lädt (DLL-Sideloading). Sie brauchen dafür lokalen Zugriff. Die CISA hat die Lücke am 20.10.2026 in ihren Katalog bekannt ausgenutzter Schwach­stel­len (KEV) aufgenommen. Siemens ordnet die Angriffe der ClickFix-Kampagne „Romulus“ zu: Nutzer werden dazu gebracht, einen Befehl von einer Webseite selbst auszuführen. Siemens nennt keine Kom­pro­mit­tie­rung eigener Systeme, Produkte oder Update-Kanäle. Was CISO und IT jetzt tun: Erstens im Software-Bestand prüfen, ob das Software Center auf Arbeits­plät­zen oder Ent­wick­lungs­rech­nern installiert ist, und auf V4.0.9.8 oder neuer aktualisieren. Laut Siemens aktualisieren sich vorhandene Versionen beim nächsten Start selbst. Zweitens Proxy- und Firewall-Protokolle auf die von Siemens genannten Indikatoren durchsuchen: die IP-Adressen 96.62.218[.]59 und 2.27.248[.]127 sowie die Domain wizard­ex­pen­sive[.]com. Drittens auf unerwartete DLL-Dateien neben der Datei Sie­mens­Soft­ware­Cen­ter.exe achten, vor allem unter AppData\Local\Programs, und auf einen Ordner „SM Software Provisioning Service“ dort. Viertens die Erkennung über Ord­ner­struk­tur und Pro­zess­ver­hal­ten aufbauen, nicht über den Datei-Hash, denn die Siemens-Datei selbst ist echt und gültig signiert. Fünftens Mitarbeitende anweisen, nie Befehle aus einer Webseite in das Ausführen-Fenster (Win+R) oder in PowerShell einzufügen. Bei Anzeichen einer Kom­pro­mit­tie­rung gilt: Rechner isolieren, Prozess beenden, Autostart-Eintrag und Aufgabe entfernen, Passwörter zurücksetzen und den Incident-Response-Prozess starten. Einordnung von Qvestcon: Das Muster, eine ver­trau­ens­wür­dige signierte Anwendung mit unter­ge­scho­be­nen Bibliotheken zu missbrauchen, ist nicht auf diese Software beschränkt. Es lohnt sich, die Regeln für Instal­la­ti­ons­quel­len und die Erken­nungs­lo­gik im Sicher­heits­be­trieb daran zu prüfen. Banken und Versicherer sollten zudem klären, ob der Vorfall in ihrem IKT-Risi­ko­ma­nage­ment als Hinweis auf nicht freigegebene Software auf Endgeräten geführt wird. [Cyber](https://qvestcon.com/news/cyber/)28.10.2026 Siemens warnt vor aktiver Ausnutzung der Schwachstelle CVE-2026-110936 (CVSS 8,4) im Siemens Software Center. Betroffen sind alle Versionen vor V4.0.9.8. Angreifer legen eigene Pro­gramm­bi­blio­the­ken (DLL-Dateien) neben die signierte Anwendung, die diese beim Start ungeprüft lädt (DLL-Sideloading). Sie brauchen dafür lokalen Zugriff. Die CISA hat die Lücke am 20.10.2026 in ihren Katalog bekannt ausgenutzter Schwach­stel­len (KEV) aufgenommen. Siemens ordnet die Angriffe der ClickFix-Kampagne „Romulus“ zu: Nutzer werden dazu gebracht, einen Befehl von einer Webseite selbst auszuführen. Siemens nennt keine Kom­pro­mit­tie­rung eigener Systeme, Produkte oder Update-Kanäle. Was CISO und IT jetzt tun: Erstens im Software-Bestand prüfen, ob das Software Center auf Arbeits­plät­zen oder Ent­wick­lungs­rech­nern installiert ist, und auf V4.0.9.8 oder neuer aktualisieren. Laut Siemens aktualisieren sich vorhandene Versionen beim nächsten Start selbst. Zweitens Proxy- und Firewall-Protokolle auf die von Siemens genannten Indikatoren durchsuchen: die IP-Adressen 96.62.218[.]59 und 2.27.248[.]127 sowie die Domain wizard­ex­pen­sive[.]com. Drittens auf unerwartete DLL-Dateien neben der Datei Sie­mens­Soft­ware­Cen­ter.exe achten, vor allem unter AppData\Local\Programs, und auf einen Ordner „SM Software Provisioning Service“ dort. Viertens die Erkennung über Ord­ner­struk­tur und Pro­zess­ver­hal­ten aufbauen, nicht über den Datei-Hash, denn die Siemens-Datei selbst ist echt und gültig signiert. Fünftens Mitarbeitende anweisen, nie Befehle aus einer Webseite in das Ausführen-Fenster (Win+R) oder in PowerShell einzufügen. Bei Anzeichen einer Kom­pro­mit­tie­rung gilt: Rechner isolieren, Prozess beenden, Autostart-Eintrag und Aufgabe entfernen, Passwörter zurücksetzen und den Incident-Response-Prozess starten. Einordnung von Qvestcon: Das Muster, eine ver­trau­ens­wür­dige signierte Anwendung mit unter­ge­scho­be­nen Bibliotheken zu missbrauchen, ist nicht auf diese Software beschränkt. Es lohnt sich, die Regeln für Instal­la­ti­ons­quel­len und die Erken­nungs­lo­gik im Sicher­heits­be­trieb daran zu prüfen. Banken und Versicherer sollten zudem klären, ob der Vorfall in ihrem IKT-Risi­ko­ma­nage­ment als Hinweis auf nicht freigegebene Software auf Endgeräten geführt wird. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/m-p/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/q-s/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/m-p/#markusjunge) - [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit) [Ori­gi­nal­quelle: Security-Insider →](https://www.security-insider.de/siemens-software-center-cve-2026-110936-dll-sideloading-a-5cfd9eeea92a4fd9640579786f049c49/?cmp=nl-dd8677e7-3d55-4684-9757-84c3e76ddfb1&uuid=A3B680B6-862E-4C0F-9B9B-F6448A5D7486) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Siemens%20Software%20Center%3A%20L%C3%BCcke%20wird%20aktiv%20ausgenutzt#erstgespraech) [Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)