資料核對：2026-10-25。本文根據 Siemens ProductCERT 的安全公告及實際利用說明、CISA KEV 資料整理。偵測指標會隨攻擊活動變化，處置時請再核對原廠最新公告。
重點摘要
- CVE-2026-110936 是 Siemens Software Center 的 DLL 搜尋路徑漏洞。4.0.9.8 以前版本受影響；請更新至 4.0.9.8 或更新版本。
- 原廠已確認實際利用：攻擊者將未修改、具有效簽章的舊版程式與惡意 DLL 放在一起，誘使受害者執行。這與遠端 Web 服務掃描不是同一種情境。
- 先盤點端點上安裝及執行的版本，再查異常執行路徑、同目錄 DLL、持久化項目與已知網路指標；有入侵跡象時先隔離端點並保存證據。
影響範圍與證據狀態
Siemens 公告 SSA-580366 指出，Software Center 所有低於 V4.0.9.8 的版本受影響。漏洞使已具備本機條件的攻擊者能將特製 DLL 放入程式會搜尋的目錄，使程式以其權限載入該 DLL。原廠於 2026-10-19 公開確認有實際利用，並表示目前沒有證據顯示 Siemens 系統、產品或更新通道遭入侵。
CISA 於 2026-10-20 將此 CVE 列入 Known Exploited Vulnerabilities（KEV）目錄，列出的處置期限為 2026-11-03；該日期是其聯邦機關指令的期限，其他組織仍應依自身資產與曝險情況排定修補。
已知攻擊方式
依 Siemens 的事件說明，攻擊者使用真正且簽章有效的舊版 Siemens Software Center 3.5.8.7 作為載體，將惡意檔案放在旁邊；程式啟動時從自身資料夾載入輔助 DLL。原廠將這起活動與 ClickFix 誘導執行手法連結。這是原廠觀察到的攻擊活動，並不代表每個受影響安裝都已遭利用。
若要了解 DLL 搜尋順序濫用的背景，可參考本站較早的 DLL Hijacking 議題解讀；該篇是一般技術背景，並非此 CVE 的利用證明。
端點偵測與應變
- 查找從
AppData\Local\Programs啟動、由msiexec建立的SiemensSoftwareCenter.exe，以及不應安裝 Software Center 的端點上出現的啟動項或排程工作。 - 檢查執行檔旁是否有非預期 DLL 或原廠列出的
activate.bak、statinfosta.DB，以及SM Software Provisioning Service、FTSuite等資料夾。 - 原廠公布的活動指標包括
96.62.218[.]59、wizardexpensive[.]com、2.27.248[.]127。這些指標用於追查已知活動，未命中不能證明端點安全。 - 發現可疑行為時，先隔離端點、保存程序與檔案證據，依事件應變程序檢查持久化與帳號，再處理移除及密碼重設。不要只因可執行檔簽章有效就排除風險：原廠指出被濫用的程式本身是真品。
修補與驗證
- 從原廠管道將 Siemens Software Center 更新至 V4.0.9.8 或更新版本。Siemens 表示既有安裝會在下次啟動時自動更新；仍應在端點上實際核對版本。
- 檢查非預期的安裝路徑、同目錄 DLL、啟動項、排程工作與相關網路連線。只確認已更新版本，無法排除更新前曾遭利用。
- 將查核結果、受影響端點與處置時間記錄在弱點／事件追蹤流程；若發現可疑跡象，依原廠事件指引進行調查。
來源與限制
本文的版本門檻、攻擊情境與偵測項目來自以下原始資料。公開指標只涵蓋原廠已觀察到的活動，不能取代端點調查；本文也沒有將未公開的程式碼差異或完整攻擊鏈當作已證實事實。
