CVE-2026-110936 — Siemens Software Center : chargement de DLL depuis un chemin non contrôlé
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-110936 — Siemens Software Center
Siemens Software Center antérieur à V4.0.9.8 charge des bibliothèques dynamiques depuis un chemin de recherche non contrôlé. Un attaquant authentifié local peut placer une DLL spécialement conçue dans un répertoire consulté par l'application, obtenant l'exécution de code avec les privilèges du processus.
- Éditeur
- Siemens
- Produit
- Siemens Software Center
- Publication
- 15/10/2026
- Gravité CVSS
- Élevée
- Priorité
- Critique — exploitation connue
CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Exploitation connue — CISA KEV
La faille
L'application charge des bibliothèques dynamiques (DLLs) à partir d'un chemin de recherche non contrôlé, sans valider le répertoire source.
Ce qu'elle permet à un attaquant
- Un attaquant authentifié local place une DLL malveillante dans un répertoire que l'application consulte, ce qui entraîne l'exécution de code avec les privilèges du processus affecté.
Qui est concerné
Toutes les versions de Siemens Software Center antérieures à V4.0.9.8 sont affectées.
| Produit | Versions |
|---|---|
| Siemens Software Center | 0 → < V4.0.9.8 |
État de l'exploitation
Cette vulnérabilité a été ajoutée au catalogue CISA KEV (Known Exploited Vulnerabilities) le 20 octobre 2026, indiquant une exploitation connue.
Chronologie
- Publication de la vulnérabilité
- Ajout au catalogue CISA KEV
- Échéance fixée par la CISA aux agences fédérales américaines
Que faire
- Mettez à jour Siemens Software Center vers la version V4.0.9.8 ou ultérieure.
Termes utiles
- DLL
- Dynamic-Link Library : bibliothèque de code exécutable partagée, chargée par une application au démarrage ou lors de son exécution.
- Chemin de recherche non contrôlé
- Mécanisme permettant à une application de localiser des fichiers sans validation stricte du répertoire source, créant une fenêtre d'opportunité pour l'injection de fichiers malveillants.
- KEV
- Catalogue CISA des vulnérabilités connues comme exploitées, signalant des failles activement ciblées en attaques.