← Alle artikelen

Ondertekende Siemens-app misbruikt: ClickFix-alarm (19-10-2026)

Gepubliceerd op 23 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Een echt Siemens-programma met een geldige ondertekening, gebruikt als drager voor malware. De update kost een minuut. De les over uw toelatingsregels kost meer tijd.

Kort

Op 19 oktober 2026 bevestigde Siemens actief misbruik van CVE-2026-110936, een DLL-sideloadinglek in Siemens Software Center, het hulpprogramma dat Siemens-software op engineeringwerkplekken installeert en bijwerkt^[2]. Er is bij Siemens geen systeem of updatekanaal gekraakt: de aanvallers namen een echt, geldig ondertekend exemplaar van het programma, verspreidden dat buiten de officiële kanalen en zetten hun eigen DLL-bestanden ernaast, die de kwetsbare versie bij het opstarten zonder enige controle inlas^[2]. Advisory SSA-580366, gepubliceerd op 15 oktober en bijgewerkt op 19 oktober, verhelpt het lek in versie 4.0.9.8^[1], en CISA zette de kwetsbaarheid op 20 oktober in haar catalogus van actief misbruikte lekken, met 3 november 2026 als uiterste hersteldatum^[3].

Hoe het werkt, zonder jargon

Een Windows-programma heeft bibliotheken nodig, de .dll-bestanden. Zoekt het die eerst in zijn eigen map zonder te controleren wie ze geschreven heeft, dan bepaalt iedereen die een bestand in die map kan zetten welke code er draait. Precies dat deed Siemens Software Center tot en met versie 3.5.8.7, destijds de nieuwste^[2].

Siemens is er duidelijk over: het Siemens-programma zelf is niet aangepast, de kwaadaardige code zit in de DLL-bestanden van de aanvallers^[2]. Siemens geeft het lek een score van 6,7 op 10 volgens CVSS v3.1 en 8,4 volgens CVSS v4.0^[1]. Het werd gemeld door Jose Oregon van Huntress Labs^[1].

Waarom uw antivirus niets zei

Dit is het punt dat blijft hangen, ook als u geen enkel Siemens-pakket in huis hebt. Het uitvoerbare bestand had een geldige digitale ondertekening van Siemens. Elke beveiligingsregel die zegt « laat door wat door een bekende leverancier is ondertekend » liet de hele keten passeren. Siemens vat het in één regel samen: detecteer op map en gedrag, niet op de vingerafdruk van het Siemens-bestand, want dat bestand is echt^[2].

Het is dezelfde les als bij het Windows-zerodaylek van 13 oktober, waar de downloadwaarschuwing gewoon wegviel: valt het vertrouwenssignaal van Windows weg, dan blijft alleen gedrag over om op te letten. Een geldige ondertekening antwoordt op « wie heeft dit bestand geschreven? », nooit op « wat doet het, en wie heeft het daar neergezet? ».

De echte voordeur: de valse « ik ben geen robot »

Siemens wijst de campagne toe aan Romulus, een operatie van het type ClickFix^[2]. Het patroon: een webpagina toont een valse robotcontrole en vraagt de bezoeker een opdracht te kopiëren en die in het venster Uitvoeren van Windows (Win+R) of in PowerShell te plakken. De opdracht haalt het kwaadaardige pakket binnen, hier een installatiebestand met de naam AllMyBasic.msi, dat het ondertekende Siemens-programma samen met de besmette archive.dll neerzet^[2].

Tegen die eerste handeling helpt geen enkele update: de medewerker zet de deur open. De regel die u moet rondsturen past in één zin, en komt van Siemens zelf: een echte robotcontrole vraagt nooit om een opdracht te plakken^[2].

Ben ik geraakt? Waar u op een pc naar zoekt

Siemens publiceert indicatoren die u direct kunt nakijken^[2]:

• « Siemens Software Center » bij de opstart-apps of in de Taakplanner van een pc waar het nooit op is gezet;
• een map SM Software Provisioning Service in de submap Programs van %LocalAppData%;
• bestanden activate.bak of statinfosta.DB naast SiemensSoftwareCenter.exe;
• een map FTSuite met daarin een bestand ftc.uml in %LocalAppData%;
• netwerkverbindingen naar 96.62.218[.]59 of wizardexpensive[.]com, bij publicatie van de advisory nog bereikbaar; het distributiekanaal 2.27.248[.]127 is uit de lucht, maar een machine die daar eerder van downloadde kan nog besmet zijn.

Nog een bruikbaar gedragskenmerk: SiemensSoftwareCenter.exe dat draait uit de submap Programs van %LocalAppData% en door msiexec is gestart^[2]. Ziet u een van deze signalen, zet de machine dan apart, stop eerst het proces en verwijder daarna de opstartvermelding en de geplande taak, en reset vervolgens de wachtwoorden^[2].

Wat dit betekent voor het mkb, per land

Bijwerken is het makkelijke deel: elke bestaande installatie van Siemens Software Center werkt zich bij het volgende opstarten zelf bij, en versie 4.0.9.8 staat ook op de Siemens-site^[1]. Het dure deel komt daarna, als een machine besmet blijkt.

Dan gelden twee verplichtingen, uit twee verschillende teksten. Voor een entiteit die onder NIS2 valt, schrijft artikel 23 van richtlijn (EU) 2022/2555 een vroegtijdige waarschuwing voor zonder onnodige vertraging en uiterlijk binnen 24 uur nadat u kennis hebt genomen van een significant incident, gevolgd door een incidentmelding binnen 72 uur^[5]. De ontvanger is de instantie die bij de nationale omzetting is aangewezen: in België het CCB, in Frankrijk ANSSI, in Nederland de RDI en het NCSC, in Luxemburg het ILR. Weet u niet of u eronder valt, begin dan bij onze sectoranalyse: NIS2 België: valt uw maakbedrijf er echt onder? Zit u in Brainport, dan vindt u onze regiopagina op Eindhoven.

Zijn er persoonsgegevens ingezien of weggesluisd, dan eist artikel 33 AVG een melding bij de toezichthouder zonder onnodige vertraging en indien mogelijk uiterlijk 72 uur nadat u ervan kennis hebt genomen, tenzij het niet waarschijnlijk is dat de inbreuk een risico voor de rechten en vrijheden van personen oplevert; duurt het langer dan 72 uur, dan moet de melding de reden van de vertraging vermelden^[6]. De bevoegde toezichthouder is de GBA/APD in België, de CNIL in Frankrijk, de Autoriteit Persoonsgegevens in Nederland en de CNPD in Luxemburg. Beide klokken lopen gelijktijdig, niet achter elkaar.

Nog één maatstaf, ook buiten de Verenigde Staten bruikbaar: CISA zette 3 november 2026 als uiterste hersteldatum voor de Amerikaanse federale diensten^[3]. Twee weken voor een overheidspark is het tempo dat u kunt tegenhouden tegen een leverancier die een uitrol « volgend kwartaal » belooft. Is uw beheer uitbesteed, dan speelt dezelfde vraag als bij de externe toegang van uw IT-leverancier.

Bij CyberNovaLabs.io

Dit is geen probleem met een Siemens-product, maar met het vertrouwen dat aan een ondertekening wordt gegeven. Daar werken wij precies aan: een inventaris van uw machines en toelatingsregels, een geschreven anti-ClickFix-instructie voor uw medewerkers, en het incidentblad van één pagina dat zegt wie u waarschuwt, binnen welke termijn en met welke gegevens, voor elk van de vier landen waar wij werken. Dat is de inhoud van onze dienst cyberbeveiliging voor het mkb; opdrachten gaan op aanvraag. Een half uur is genoeg om te weten waar u staat: maak een afspraak.

Bronnen

1. Siemens ProductCERT, avis SSA-580366 — DLL Sideloading Vulnerability in Siemens Software Center (publié le 15/10/2026, mis à jour le 19/10/2026)
2. Siemens ProductCERT, Active Exploitation of CVE-2026-110936 in Siemens Software Center (19/10/2026)
3. NVD / CISA Known Exploited Vulnerabilities — CVE-2026-110936 (ajoutée le 20/10/2026, échéance 03/11/2026)
4. SecurityWeek, Siemens Software Center Vulnerability Exploited in ClickFix Malware Attacks (20/10/2026)
5. Directive (UE) 2022/2555 (NIS2), article 23 — obligations de notification
6. Règlement (UE) 2016/679 (RGPD), article 33 — notification d'une violation de données

Lees ook