Siemens bestätigt, dass Angreifer eine DLL-Side-Loading-Lücke im Software Center ausnutzen. Die Angreifer verbreiten ein manipuliertes MSI-Paket ausserhalb der offiziellen Kanäle. Hinter der Aktion steht die ClickFix-Kampagne Romulus. Version 4.0.9.8 schliesst die Lücke, Admins sollten Updates prüfen und nach Spuren suchen.
Siemens schliesst mit Version 4.0.9.8 eine aktiv ausgenutzte Lücke mit CVSS-Wert 8,4 im Software Center. Wer das Programm einsetzt, sollte Version und Herkunft des Installers prüfen. Die Meldung zeigt auch, wie Angreifer ein vertrauenswürdiges Programm als Tarnung nutzen.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-110936 wird aktiv ausgenutzt. Es handelt sich um DLL Side-Loading im Siemens Software Center, bewertet mit CVSS v4.0 von 8,4.
- Version 4.0.9.8 behebt das Problem. Betroffen war die damals aktuelle Version 3.5.8.7.
- Siemens selbst wurde nach eigenen Angaben nicht gehackt. Die Angreifer haben ein echtes, signiertes Programm mit eigenen Dateien kombiniert.
- Die Verbreitung läuft über ClickFix. Opfer führen einen schädlichen Befehl selbst aus, die Kampagne heisst Romulus.
Was Siemens gemeldet hat
Siemens hat den Sicherheitshinweis am 15. Oktober 2026 erstmals veröffentlicht. Am 17. Oktober folgte die Aktualisierung mit dem Hinweis auf Version 4.0.9.8. Am 19. Oktober warnte Siemens in einem Blogbeitrag vor aktiver Ausnutzung. Gemeldet hat die Schwachstelle Jose Oregon von Huntress Labs.
Das Software Center dient dazu, Siemens-Software herunterzuladen, zu installieren und zu verwalten. Die Lücke liegt im Laden von Hilfsdateien. Die Version 3.5.8.7 holte diese aus dem eigenen Ordner und prüfte sie nicht.
So gehen die Angreifer vor
Die Angreifer nahmen eine echte Kopie des Software Centers mit gültiger Signatur. Daneben legten sie eigene Dateien. Das Programm lädt diese beim Start und führt sie aus. Die ausführbare Datei selbst blieb nach Angaben von Siemens unverändert.
Das Programm eignet sich als Träger, weil es signiert ist und als vertrauenswürdig gilt. Sicherheitssoftware schlägt dadurch seltener an. Siemens betont, dass nach seinem Wissen kein Siemens-System, Produkt oder Update-Kanal betroffen war. Sicherheitsfirmen und Behörden seien eingebunden, um Erkennung und Abwehr zu verbessern.
Der Installer heisst AllMyBasic.msi. Er wurde ausserhalb der offiziellen Kanäle verteilt. Siemens ordnet die Aktivität der Romulus-Kampagne zu.
ClickFix und die Romulus-Plattform
Bei ClickFix bringen Angreifer Nutzer dazu, einen Befehl selbst einzufügen und auszuführen. Dadurch entfällt ein Download im Browser und eine Datei, die jemand öffnen müsste. So umgehen die Täter Schutz für E-Mail und Endgeräte. Siemens rät, nie einen Befehl von einer Webseite in Win+R, das Ausführen-Fenster oder PowerShell einzufügen. Eine echte „Ich bin kein Roboter“-Prüfung verlangt das nie.
Forescout hat vergangene Woche Details zur Plattform veröffentlicht. Die Forscher fanden ein Panel namens ROMULUS bei der Untersuchung eines Vorfalls. Es liefert ein PowerShell-Skript und einen manipulierten MSI-Installer mit Schadcode-Lader.
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| CVSS v4.0 | 8,4 | Hoher Schweregrad laut Siemens |
| Betroffene Version | 3.5.8.7 | Damals aktuelle Version lud Dateien ungeprüft |
| Behobene Version | 4.0.9.8 | Update schliesst die Lücke |
| IP-Adressen mit ROMULUS | 6 | Forescout fand sechs Server mit dem Panel |
| Verbreitete Datei | AllMyBasic.msi | Installer ausserhalb offizieller Kanäle |
Eine der Adressen (2.27.248[.]127) nennt auch Siemens als Verteilkanal. Eine Nutzlast namens LegionLoader kann Daten aus Chrome auslesen. Wer hinter der Plattform steckt, ist laut Forescout unbekannt. Es könnte ein privates Panel, ein kommerzieller Dienst, ein Affiliate-Gerüst oder kopierte Software sein.
Das sollten Admins jetzt tun
Siemens nennt mehrere Schritte für Verteidiger:
- Die im Blogbeitrag genannte Angreifer-Infrastruktur sperren.
- Nach SiemensSoftwareCenter.exe suchen, die msiexec aus AppData\Local\Programs startet.
- Befallene Rechner isolieren und den Prozess beenden.
- Autostart-Einträge entfernen und Passwörter zurücksetzen.
Bestehende Installationen aktualisieren sich laut Meldung automatisch auf die behobene Version. Der genaue Zeitpunkt ist in der vorliegenden Quelle abgeschnitten und deshalb unbestätigt.
Einordnung: Was das für Admins in der Schweiz heisst
Wer Siemens-Software betreut, prüft jetzt die Version des Software Centers. Sie sollte 4.0.9.8 oder neuer sein. Zudem lohnt sich die Suche nach dem genannten Startmuster, am besten sofort. Wer AllMyBasic.msi oder einen Installer aus unklarer Quelle findet, behandelt den Rechner als befallen. Dann gelten Isolation und Passwort-Reset, auch für im Chrome gespeicherte Zugangsdaten. Kosten nennt die Quelle nicht. Das Update selbst ist laut Siemens der Weg zur Behebung.
Fazit
Du weisst jetzt, welche Version die Lücke schliesst und woran Du einen Befall erkennst. Prüfe als Nächstes die installierte Version und suche nach dem Startmuster von msiexec. Schule zudem Dein Team: Befehle von Webseiten gehören nie in Win+R oder PowerShell.
Quellen: Help Net Security. Foto: StartupStockPhotos / Pixabay. Stand: 21. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.