趨勢新聞TREND NEWS
慕尼黑西門子總部前的石材招牌，刻著 SIEMENS 字樣，後方是玻璃帷幕大樓與金屬雕塑
西門子慕尼黑總部。Álvaro de la Paz Franco 攝，CC0，Wikimedia Commons。
資安西門子CISA KEV

西門子軟體管家 Software Center 漏洞遭利用：沒裝過的電腦也可能中招，修補版 4.0.9.8，美國聯邦文職機關限 11 月 3 日前處理

趨勢新聞2026 年 10 月 28 日

西門子（Siemens）Software Center 是西門子給客戶的軟體管家，可用來下載、安裝、啟用與更新已購買的西門子軟體。它有一個漏洞（編號 CVE-2026-110936；CVE 是全球通用的漏洞編號）已經被拿來攻擊，美國網路安全暨基礎設施安全局（CISA）10 月 20 日（美國時間）把它列進「已知遭利用漏洞目錄」（KEV，只收已確認被實際用來攻擊的漏洞）。麻煩在於，沒裝過這套軟體的電腦也可能中：西門子說，攻擊者把一份真品、帶西門子有效數位簽章的 Software Center，和自己做的惡意檔案放在一起散布。該做的事有兩件：電腦上有 Software Center 的，確認它已更新到 4.0.9.8 以上；所有人都不要照網頁指示，把一段指令貼進 Win+R 執行視窗或 PowerShell。

我會不會受影響？

  • 公司有人用西門子軟體、電腦上裝著 Software Center：4.0.9.8 以前的版本都有這個漏洞。西門子說已裝好的 Software Center 下次啟動就會自動更新，也可以從西門子官方頁面下載新版。本站的讀法：使用西門子設計、工程類軟體的團隊，可以先盤點電腦上有沒有它；下載頁本身沒有列出具體產品名。
  • 從沒裝過西門子軟體的電腦：如果有人曾照某個網頁的指示，把指令貼進執行視窗或 PowerShell 執行，就要檢查。西門子把這波攻擊歸到「Romulus 跨平台 ClickFix 行動」；ClickFix 指用假網頁騙使用者自己動手貼上並執行指令。西門子提醒，真正的「我不是機器人」驗證不會要求這樣做。
  • 自己就能看的跡象：沒裝過 Software Center 的電腦，開機自動啟動的程式或「工作排程器」裡卻出現了它。看到就請資訊人員或維護廠商處理，下面有給他們的清單。
  • 西門子：目前未發現官方管道遭入侵。西門子說，就它所知沒有任何西門子系統、產品或更新管道遭入侵，已知的惡意組合是在官方管道以外散布。從官方取得的舊版仍有漏洞，一樣要更新。

真品程式為什麼會變成攻擊工具

Windows 程式啟動時，會順便載入一些叫 DLL 的輔助檔。這個漏洞的類別是 CWE-427（不受控的搜尋路徑元素）：程式找輔助檔時，會去攻擊者放得進檔案的地方找。攻擊者把惡意 DLL 放在旁邊，程式一啟動就當成自己的零件執行，這種手法常叫 DLL 側載或 DLL 劫持。西門子的部落格說，攻擊發生時的最新版 3.5.8.7，會直接從自己所在的資料夾載入輔助檔，不做檢查；攻擊者挑它，是因為它有簽章、受信任。西門子的程式沒被改過，惡意程式碼全在攻擊者提供的 DLL 裡。

CVSS 是 0 到 10 分的漏洞嚴重度評分。西門子給 3.1 版評分 6.7（中度），條件寫要從這台電腦本機操作，而且事先就有高權限（例如管理員等級）；4.0 版評分 8.4。公告描述的是「已通過認證的本機攻擊者」把特製 DLL 放進程式會搜尋的資料夾，就能以這支程式的權限執行任意程式碼（本站譯）。本站的讀法：分數假設攻擊者已經能在電腦上放檔案，在這場攻擊裡，這一步是騙使用者自己做的；部落格沒有細說這波攻擊怎麼滿足高權限條件。

本站的讀法：更新到 4.0.9.8 保護的是本來就裝著的那一份；攻擊者自己帶進來的舊版，啟動時就已載入惡意 DLL，所以已中招的電腦要靠下面的路徑與行為檢查找出來。

給資訊人員：西門子列的指標與處置

指標：惡意安裝包 AllMyBasic.msi 與惡意 DLL archive.dll（部落格附 SHA-256 雜湊值）；發文時仍在運作的指揮主機 96.62.218[.]59 與 wizardexpensive[.]com；已停用的散布點 2.27.248[.]127（方括號是刻意加的，防止誤點）。三個都要在防火牆、代理伺服器與 DNS 封鎖，也要回查紀錄；散布點下線前下載過的電腦仍可能受感染。

要找的跡象：從 AppData\Local\Programs 執行、由 msiexec 啟動的 SiemensSoftwareCenter.exe；那裡出現 SM Software Provisioning Service 資料夾；執行檔旁有 activate.bak 或 statinfosta.DB；AppData\Local\FTSuite 裡有 ftc.uml；預設安裝資料夾以外、和執行檔放在一起的不明 DLL；有連往 96.62.218[.]59 的連線。西門子提醒，要看資料夾和行為，不要比對西門子執行檔的指紋，因為那個檔案是真品。找到時先隔離電腦，再停掉程序、移除開機項目與排程工作、重設密碼，之後走自己的事件應變流程。部落格沒有寫操作者是誰、受害者多少、攻擊從哪天開始。

11 月 3 日的期限管誰

KEV 的處理期限依 CISA 的約束性作業指令 BOD 26-04 訂定。BOD 是 CISA 對美國聯邦文職行政部門機關下的強制命令，台灣企業不受它拘束，但 CISA 鼓勵所有組織優先修 KEV 裡的漏洞。這筆 10 月 20 日列入、期限 11 月 3 日，給 14 天；鑑識初判欄是「否」，勒索軟體欄寫「未知」。CVE 紀錄裡，CISA 把它評為已有實際利用、不可自動化、技術影響「完全」；就這個漏洞來說，惡意程式碼會以 Software Center 的權限執行，能做多少事取決於它的執行權限。本站的讀法：照 BOD 26-04 的時程表（本站10 月 18 日整理過），資產不對外開放時推得出 14 天；但本站取得的資料沒有列出 CISA 對這筆的曝險判定，最終由各機關自行認定。

各家怎麼報

SecurityWeek（10 月 19 日）、Help Net Security 與 Infosecurity Magazine（10 月 20 日）寫的修補版 4.0.9.8 與 3.5.8.7 不檢查輔助檔，都和西門子文件一致；SecurityWeek 與 Help Net Security 寫的 10 月 15 日公告、17 日補上修補版，也符合公告修訂紀錄。三篇只寫 8.4 分（Infosecurity 未註明是 CVSS 4.0），沒寫 3.1 版的 6.7 分與高權限條件，也沒提 KEV。Help Net Security 多了一條線索：資安公司 Forescout 旗下 Vedere Labs 10 月 15 日的 ROMULUS 報告列了 6 個 IP，其中 2.27.248[.]127 就是西門子列的散布點；本站對過，這個 IP 確實在內，但報告全文沒有出現西門子，也寫明平台經營者不明。通報這個漏洞的是資安公司 Huntress 的研究員 Jose Oregon，西門子公告的致謝也寫他。

原文 西門子安全公告 SSA-580366（2026-10-15 發布，10-19 第 1.2 版），受影響版本、修補版本、CVSS 評分與向量、CWE、致謝與修訂紀錄取自此頁，描述原句為 “This could allow an authenticated local attacker to place a specially crafted DLL in a directory that the application searches, leading to arbitrary code execution with the privileges of the affected application.”； 西門子 ProductCERT 部落格〈Active Exploitation of CVE-2026-110936 in Siemens Software Center〉（2026-10-19），攻擊手法、3.5.8.7 版、Romulus 歸屬、指標與處置步驟取自此頁； CISA 警示〈CISA Adds Six Known Exploited Vulnerabilities to Catalog〉（2026-10-20）與 KEV 條目，列入日、期限、鑑識欄與勒索軟體欄取自 CISA 的 KEV JSON 資料檔（2026.10.26 版）； BOD 26-04，約束對象取自此頁； CVE-2026-110936 紀錄與 NVD 頁面，CISA 的利用狀態、可自動化與技術影響評估取自此處； Siemens Software Center 下載頁，產品用途取自此頁； Forescout Vedere Labs〈ROMULUS: Analysis of a New Multi-Payload ClickFix Delivery Platform〉（2026-10-15），IP 指標表與經營者不明的說法取自此頁； 各家報導：SecurityWeek〈Siemens Software Center Vulnerability Exploited in ClickFix Malware Attacks〉（2026-10-19）、Help Net Security〈Attackers exploit Siemens Software Center flaw in active ClickFix malware campaign〉（2026-10-20）、Infosecurity Magazine〈Siemens Customers Targeted by ClickFix Attackers Exploiting DLL Side-Loading Flaw〉（2026-10-20），三篇評分寫法、KEV 有無以本站取得的網頁全文搜尋為準。