Die Signatur war echt. Der Schadcode auch!

OT-Fallanalyse 02 | 21. Oktober 2026

Was, wenn eine echte Herstellersignatur Vertrauen vermittelt – aber eine nachgeladene Bibliothek Schadcode enthält?

Am 19. Oktober bestätigte Siemens ProductCERT die aktive Ausnutzung von CVE-2026-110936 im Siemens Software Center. CVSS v4.0: 8,4.

WAS IST PASSIERT?

Angreifer verbreiteten ein echtes, gültig signiertes Siemens Software Center zusammen mit schädlichen DLL-Dateien. Die Anwendung lud diese über einen unkontrollierten Suchpfad mit ihren Berechtigungen (DLL-Sideloading).

Wichtig: Laut Siemens wurden keine eigenen Systeme, Produkte oder offiziellen Updatekanäle kompromittiert. Das Paket kam aus fremden Quellen. Die Kampagne nutzt ClickFix: gefälschte Prüfseiten verleiten Nutzer dazu, schädliche Befehle selbst auszuführen.

WARUM IST DAS FÜR OT SO BRISANT?

Engineering-Workstations können Zugriff auf Projektdateien, Zertifikate, HMIs und Steuerungen haben.

Ein kompromittierter Rechner gefährdet potenziell die Integrität der Automatisierung. Ein Angriff auf SPS oder Produktionsanlagen ist hier nicht belegt.

FÜNF KONKRETE MASSNAHMEN:

1. Bestand prüfen: Siemens Software Center unter Version 4.0.9.8 aktualisieren. Der Fix wird beim Start automatisch eingespielt; erfolgreichen Versionswechsel nachweisen.
2. Vertrauenskette prüfen: Signierte EXE ist kein Freibrief für DLLs. Bezugsquellen, Ladepfade und Bibliotheken kontrollieren; Application Allowlisting einsetzen.
3. Kompromittierung suchen: SiemensSoftwareCenter.exe in AppData\Local\Programs, verdächtige Autostarts und DLLs prüfen. EDR/SIEM auswerten und bei Treffern Rechner isolieren.
4. Engineering-PCs isolieren: Least Privilege, MFA-Fernzugriff, segmentierte OT-Zonen; kein pauschaler Zugriff auf Steuerungen.
5. Prozessintegrität sichern: SPS-Projekte, Konfigurationen und Softwarestände auf Änderungen prüfen. Wiederherstellung testen.

MEIN FAZIT:

Eine digitale Signatur bestätigt die Identität des Signierenden und die Integrität der signierten Datei. Sie bescheinigt nicht automatisch, dass alle später geladenen Komponenten sicher sind.

IEC 62443 muss deshalb auch auf Engineering-Systeme, Software-Lieferketten und Änderungsprozesse angewendet werden – nicht nur auf die SPS.

Meine Frage an OT-Verantwortliche: Prüfen Sie nur, OB ein Herstellerprogramm signiert ist – oder auch, WAS es zur Laufzeit nachlädt?

Weitere aktuelle OT-Fallanalysen folgen. Folgen Sie meinem Profil für technische Einordnung statt bloßer CVE-Meldungen.

Tsolkas Executive Consulting GmbH – Alexander Tsolkas

Quelle: Siemens ProductCERT, 19.10.2026; Advisory SSA-580366.

#OTSecurity #IEC62443 #IndustrialCybersecurity #CyberResilienceAct #EngineeringSecurity

Weitere Artikel

Artikelserie – Industrial Control Systems unter regulatorischen Druck – Artikel 10 – MQTT in ICS Artikelserie – Industrial Control Systems unter regulatorischen Druck – Artikel 8 – Diverse Architekturen normgerecht umsetzen Artikelserie – Industrial Control Systems unter regulatorischen Druck – Artikel 7 – OPC UA und MQTT Artikelserie – Industrial Control Systems unter regulatorischen Druck – Artikel 5 – Referenzarchitektur