← Toutes les ressources

Logiciel signé Siemens détourné : l'alerte ClickFix (19/10/2026)

Publié le 23 octobre 2026 · 7 min de lecture · CyberNovaLabs.io

Un exécutable Siemens authentique, signature valide, utilisé comme cheval de Troie : la faille corrigée le 15 octobre est exploitée depuis. Le correctif prend une minute ; la leçon sur vos règles d'autorisation est plus longue à tirer.

En bref

Le 19 octobre 2026, Siemens a confirmé l'exploitation active de la faille CVE-2026-110936, un défaut de chargement de bibliothèques dans Siemens Software Center, l'utilitaire qui installe et met à jour les logiciels Siemens sur les postes d'ingénierie^[2]. Aucun système ni canal de mise à jour de Siemens n'a été compromis : les attaquants ont diffusé une copie authentique et signée du programme, hors des canaux officiels, en posant à côté leurs propres fichiers DLL que la version vulnérable chargeait au démarrage sans la moindre vérification^[2]. L'avis SSA-580366, publié le 15 octobre et mis à jour le 19, corrige le défaut en version 4.0.9.8^[1], et la CISA a inscrit la faille à son catalogue des vulnérabilités activement exploitées le 20 octobre, avec une échéance de remédiation fixée au 3 novembre 2026^[3].

Le mécanisme, sans jargon

Un programme Windows a besoin de bibliothèques, des fichiers .dll, pour fonctionner. S'il les cherche d'abord dans son propre dossier sans vérifier qui les a écrites, alors quiconque peut déposer un fichier dans ce dossier choisit le code qui s'exécutera. C'est exactement ce que faisait Siemens Software Center jusqu'à la version 3.5.8.7, la plus récente au moment des faits^[2].

La note technique de Siemens est explicite : le programme Siemens n'a pas été modifié, le code malveillant se trouve dans les DLL fournies par les attaquants^[2]. Siemens évalue la faille à 6,7 sur 10 en CVSS v3.1 et à 8,4 en CVSS v4.0^[1]. Elle a été signalée par Jose Oregon, de Huntress Labs^[1].

Pourquoi votre antivirus n'a rien signalé

C'est le point à retenir, même sans un seul logiciel Siemens dans l'entreprise. L'exécutable portait une signature numérique Siemens valide. Toute règle de sécurité qui dit « autoriser ce qui est signé par un éditeur connu » a laissé passer la chaîne complète. Siemens le formule en une phrase : détectez sur le dossier et le comportement, pas sur l'empreinte du fichier Siemens, car ce fichier est authentique^[2].

La leçon rejoint celle du zero-day Windows du 13 octobre, où c'était l'avertissement de téléchargement qui disparaissait : quand le signal de confiance de Windows saute, il ne reste que le comportement à surveiller. Une signature valide répond à la question « qui a écrit ce fichier ? », jamais à « que fait-il, et qui l'a posé là ? ».

La vraie porte d'entrée : le faux « je ne suis pas un robot »

Siemens attribue la campagne à Romulus, une opération de type ClickFix^[2]. Le principe : une page web affiche une fausse vérification anti-robot et demande à l'internaute de copier une commande, puis de la coller dans la boîte Exécuter de Windows (Win+R) ou dans PowerShell. La commande télécharge le paquet malveillant, ici un installeur nommé AllMyBasic.msi, qui dépose le programme Siemens signé et la bibliothèque piégée archive.dll^[2].

Aucun correctif ne protège contre ce premier geste : c'est le salarié qui ouvre la porte. La consigne à faire circuler tient en une ligne, et c'est celle de Siemens : une vraie vérification anti-robot ne demande jamais de coller une commande^[2].

Suis-je touché ? Les signes à chercher sur un poste

Siemens publie des indicateurs directement vérifiables^[2] :

• « Siemens Software Center » présent au démarrage ou dans le Planificateur de tâches d'un PC où ce logiciel n'a jamais été installé ;
• un dossier nommé SM Software Provisioning Service dans le sous-dossier Programs de %LocalAppData% ;
• des fichiers activate.bak ou statinfosta.DB posés à côté de SiemensSoftwareCenter.exe ;
• un dossier FTSuite contenant un fichier ftc.uml dans %LocalAppData% ;
• des connexions réseau vers 96.62.218[.]59 ou wizardexpensive[.]com, encore actifs à la publication de l'avis ; le canal de distribution 2.27.248[.]127 est inactif, mais un poste qui y a téléchargé avant sa fermeture peut rester infecté.

Autre signature comportementale utile : SiemensSoftwareCenter.exe lancé depuis le sous-dossier Programs de %LocalAppData% et démarré par msiexec^[2]. Si l'un de ces signes apparaît, isolez le poste, arrêtez le processus avant de supprimer l'entrée de démarrage et la tâche planifiée, puis changez les mots de passe^[2].

Ce que ça change pour une PME, pays par pays

La mise à jour est la partie facile : toute installation existante de Siemens Software Center se met à jour automatiquement au prochain démarrage, et la version 4.0.9.8 se télécharge sur le site Siemens^[1]. La partie qui coûte, c'est ce qui suit si un poste était compromis.

Deux obligations se déclenchent alors, et elles ne viennent pas du même texte. Pour une entité soumise à NIS2, l'article 23 de la directive (UE) 2022/2555 prévoit une alerte précoce sans retard injustifié et au plus tard dans les 24 heures suivant la prise de connaissance d'un incident important, puis une notification d'incident au plus tard dans les 72 heures^[5]. Le destinataire est l'autorité désignée par la transposition nationale : le CCB en Belgique, l'ANSSI en France, le RDI et le NCSC aux Pays-Bas, l'ILR au Luxembourg. Si vous ne savez pas si vous êtes concerné, commencez par notre analyse sectorielle : NIS2 Belgique : industrie et production, qui est concerné ? Pour une PME industrielle wallonne, nos repères locaux sont sur notre page Liège.

Si des données personnelles ont pu être consultées ou exfiltrées, l'article 33 du RGPD impose une notification à l'autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après la prise de connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes ; au-delà de 72 heures, la notification doit exposer les motifs du retard^[6]. L'autorité compétente est l'APD/GBA en Belgique, la CNIL en France, l'Autoriteit Persoonsgegevens aux Pays-Bas, la CNPD au Luxembourg. Ces deux délais courent en parallèle, pas l'un après l'autre.

Un dernier repère, utile même hors des États-Unis : la CISA a fixé au 3 novembre 2026 l'échéance de remédiation pour les administrations fédérales américaines^[3]. Deux semaines pour un parc d'État, c'est le rythme que vous pouvez opposer à un prestataire qui vous annonce un déploiement « au prochain trimestre ». Si votre maintenance est externalisée, la question se pose dans les mêmes termes que pour l'accès distant de votre prestataire IT.

Chez CyberNovaLabs.io

Cette affaire n'est pas un problème de produit Siemens : c'est un problème de confiance accordée à une signature. Nous intervenons sur ce point précis, avec l'inventaire de vos postes et de vos règles d'autorisation, une consigne anti-ClickFix écrite pour vos salariés, et la page d'incident qui dit qui prévenir, dans quel délai et avec quelles informations, pour chacun des quatre pays où nous travaillons. C'est le contenu de notre offre cybersécurité pour PME ; les prestations sont sur devis. Trente minutes suffisent à savoir où vous en êtes : prenez rendez-vous.

Sources

1. Siemens ProductCERT, avis SSA-580366 — DLL Sideloading Vulnerability in Siemens Software Center (publié le 15/10/2026, mis à jour le 19/10/2026)
2. Siemens ProductCERT, Active Exploitation of CVE-2026-110936 in Siemens Software Center (19/10/2026)
3. NVD / CISA Known Exploited Vulnerabilities — CVE-2026-110936 (ajoutée le 20/10/2026, échéance 03/11/2026)
4. SecurityWeek, Siemens Software Center Vulnerability Exploited in ClickFix Malware Attacks (20/10/2026)
5. Directive (UE) 2022/2555 (NIS2), article 23 — obligations de notification
6. Règlement (UE) 2016/679 (RGPD), article 33 — notification d'une violation de données

À lire aussi