Siemens corrige une faille de DLL sideloading dans Siemens Software Center, déjà exploitée lors d'attaques ClickFix.

Siemens vient de corriger une vulnérabilité importante dans Siemens Software Center. Cette faille de type DLL sideloading a déjà été exploitée dans des attaques utilisant la technique ClickFix. Ainsi, selon les informations disponibles, ces campagnes visent à déployer un cheval de Troie d’accès à distance (RAT) sur les machines ciblées.

L’affaire rappelle une réalité simple. Les outils industriels très répandus intéressent les cybercriminels. En effet, ils s’installent souvent sur des postes disposant de droits étendus.

Une faille dans Siemens Software Center

La vulnérabilité est suivie sous l’identifiant CVE-2026-110936. Elle reçoit un score CVSS v4 de 8,4. Ce score la place donc dans la catégorie « haute sévérité ». Par ailleurs, Siemens a publié un correctif pour la combler.

Le principe est le suivant. D’abord, un attaquant dépose une DLL spécialement conçue dans un répertoire que l’application consulte. Ensuite, le logiciel charge ce fichier à la place d’une bibliothèque légitime. Le code malveillant s’exécute alors avec les mêmes privilèges que l’application elle-même.

Par conséquent, l’impact dépend des droits du compte qui lance le logiciel. Sur un poste d’ingénieur, ces droits peuvent être élevés. Le risque est donc loin d’être théorique.

Comment fonctionne le DLL sideloading

Sous Windows, une application charge des bibliothèques dynamiques, les fichiers DLL. Elle les cherche dans plusieurs emplacements, selon un ordre précis. Toutefois, si ce mécanisme est mal sécurisé, un fichier piégé peut être pris en compte avant le fichier légitime.

Cette méthode séduit les attaquants pour plusieurs raisons :

• le programme qui charge la DLL est signé et réputé fiable ;
• l’exécution paraît donc normale pour de nombreux outils de détection ;
• le code malveillant hérite des privilèges du processus hôte.

Autrement dit, l’attaquant se cache derrière un logiciel de confiance. C’est pourquoi cette technique est très utilisée pour installer des charges persistantes. Elle sert notamment à déployer des outils de contrôle à distance.

ClickFix : le rôle de l’ingénierie sociale

ClickFix est une technique d’ingénierie sociale. La victime voit un message d’erreur ou une fausse vérification de sécurité. Ensuite, on lui demande d’effectuer une action manuelle pour « résoudre » le problème. Souvent, il s’agit de copier une commande et de l’exécuter elle-même.

Cette approche contourne bien des protections techniques. En effet, c’est l’utilisateur qui lance l’action. Le système la considère donc comme légitime.

Dans cette affaire, la faille de Siemens Software Center s’ajoute à la chaîne d’attaque. D’abord, la victime est amenée à déclencher une première étape. Ensuite, la DLL piégée est chargée par l’application vulnérable. Enfin, le cheval de Troie s’installe et donne un accès distant à l’attaquant.

Un RAT permet de nombreuses actions. L’attaquant peut par exemple surveiller le poste, voler des fichiers ou exécuter des commandes. De plus, il peut s’en servir comme point d’entrée vers le reste du réseau.

Un enjeu particulier pour les environnements industriels

Siemens est un acteur majeur de l’automatisation et de l’industrie. Ses logiciels sont présents chez de nombreuses entreprises. Par conséquent, la compromission d’un poste de gestion peut avoir des conséquences plus larges qu’une simple infection bureautique.

Toutefois, il faut rester prudent sur la portée exacte des attaques. Les informations disponibles ne précisent pas l’ampleur des campagnes. Elles n’indiquent pas non plus quels acteurs sont derrière ces opérations. Il convient donc d’éviter toute extrapolation. Il faut également consulter l’avis officiel de l’éditeur pour les détails de version.

Recommandations pour les utilisateurs de Siemens Software Center

C’est pourquoi les équipes informatiques et industrielles doivent agir rapidement. Voici les mesures à privilégier :

1. Appliquer le correctif publié par Siemens pour la CVE-2026-110936, en suivant les instructions de l’avis de sécurité.
2. Restreindre les droits d’écriture dans les répertoires utilisés par l’application, afin d’empêcher le dépôt d’une DLL piégée.
3. Limiter les privilèges des comptes qui exécutent le logiciel, selon le principe du moindre privilège.
4. Surveiller les chargements de DLL inhabituels et les processus enfants suspects lancés par l’application.
5. Sensibiliser les utilisateurs à ClickFix. En effet, aucune vérification légitime ne demande de copier et d’exécuter une commande dans une console.

Par ailleurs, il est utile de vérifier les postes qui utilisent ce logiciel. Recherchez des fichiers DLL récents ou inattendus dans les dossiers concernés. Contrôlez également les connexions sortantes inhabituelles. Elles peuvent en effet trahir la présence d’un RAT.

Ce qu’il faut retenir

• Siemens a corrigé la faille CVE-2026-110936 (CVSS v4 : 8,4) dans Siemens Software Center.
• Il s’agit d’une vulnérabilité de DLL sideloading permettant d’exécuter du code avec les privilèges de l’application.
• Elle a été exploitée dans des attaques ClickFix visant à déployer un cheval de Troie d’accès à distance.
• La mise à jour, la réduction des droits et la sensibilisation des utilisateurs restent donc les meilleures défenses.

Source : ClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan