SandIA (Buenos Aires, 20 de octubre de 2026).- La empresa Siemens solucionó una vulnerabilidad de alta gravedad en su programa Siemens Software Center, que resultó explotada en ataques ClickFix para desplegar troyanos de acceso remoto, según informó el medio especializado The Hacker News.
Detalles de la vulnerabilidad identificada
La falla de seguridad, identificada bajo el código CVE-2026-110936 y con una puntuación de gravedad CVSS v4 de 8,4, permite la ejecución de código no autorizado mediante el secuestro de bibliotecas de enlace dinámico. Según detalló Siemens en su aviso oficial, la aplicación cargaba archivos DLL desde una ruta de búsqueda no controlada. Esto permitió que atacantes locales autenticados colocaran archivos maliciosos en la carpeta del sistema y ejecutaran código con los mismos privilegios del servicio afectado.
Método de ataque y herramientas empleadas
El investigador Jose Oregon, perteneciente a Huntress Labs, descubrió y reportó este problema de seguridad. Los ciberdelincuentes utilizaron copias legítimas y firmadas de Siemens Software Center en su versión 3.5.8.7, colocándole al lado un archivo malicioso denominado archive.dll. Para iniciar el proceso, los atacantes emplearon el ejecutable msiexec.exe con el fin de lanzar el instalador AllMyBasic.msi, el cual desencadenó la ejecución del programa vulnerado.
Vector de propagación e infraestructura
La actividad maliciosa fue atribuida a la plataforma de distribución ClickFix denominada Romulus, analizada previamente por la firma de ciberseguridad Forescout. Las investigaciones de Huntress revelaron que algunas campañas emplearon versiones personalizadas maliciosas de ChatGPT para redirigir a las víctimas hacia sitios falsos. Al copiar y ejecutar comandos de PowerShell, los usuarios descargaron de forma inadvertida el instalador MSI que finalmente infectó los equipos con un troyano de acceso remoto.
Medidas de mitigación recomendadas
La compañía lanzó la versión 4.0.9.8 de Siemens Software Center para corregir el fallo de forma definitiva. Las organizaciones deben actualizar la aplicación a dicha versión o superior para aplicar la solución. Asimismo, se aconsejó a los administradores bloquear las direcciones IP y dominios asociados con la amenaza, e inspeccionar si la aplicación se ejecuta desde la carpeta AppData\Local\Programs iniciada por el proceso msiexec.exe.