Detectada vulnerabilidad de ejecución de código en Siemens Software Center

Una vulnerabilidad en Siemens Software Center (CVE-2026-110936) ha sido identificada, afectando a versiones anteriores a la 4.0.9.8 del software. Según un aviso publicado por CISA Advisories, el problema radica en que la aplicación carga bibliotecas de enlace dinámico (DLLs) desde una ruta de búsqueda no controlada (CWE-427).

Este defecto permite que un atacante local y autenticado coloque una DLL manipulada en un directorio que la aplicación escanea, lo que conduce a la ejecución de código arbitrario con los privilegios del Siemens Software Center. La vulnerabilidad ha sido clasificada con una severidad media, con una puntuación base CVSS v3.1 de 6.7.

La relevancia de este hallazgo se acentúa por el despliegue mundial de Siemens Software Center en diversos sectores de infraestructura crítica, incluyendo Fabricación Crítica, Sistemas de Transporte, Energía, Salud Pública, Servicios Financieros y Servicios Gubernamentales e Instalaciones.

Siemens ha abordado esta vulnerabilidad con el lanzamiento de nuevas versiones del software. La recomendación principal es actualizar a la versión V4.0.9.8 o posterior. La compañía señala que las versiones existentes de Siemens Software Center se autoactualizarán en el siguiente inicio. Además, Siemens ha comunicado que existe explotación activa conocida de esta vulnerabilidad, para la cual ofrecen información adicional en una publicación de blog.

CISA, por su parte, recomienda medidas defensivas generales para minimizar el riesgo de explotación, como reducir la exposición de la red de los dispositivos de sistemas de control, ubicarlos detrás de cortafuegos y aislarlos de redes empresariales, y utilizar métodos más seguros para el acceso remoto, como las Redes Privadas Virtuales (VPNs), asegurándose de que estén actualizadas a la versión más reciente.