シーメンスの管理ツールに高深刻度の脆弱性、正規署名を悪用した「ClickFix」攻撃によるマルウェア侵入が確認される

要点

• シーメンスは、管理ソフト「Siemens Software Center」に存在する高深刻度のDLLサイドローディング脆弱性（CVE-2026-110936）を修正した。

• 攻撃者は正規署名されたアプリの信頼性を悪用し、不正なDLLを読み込ませることでマルウェアを実行させていた。

• 侵入経路には、偽のエラー修復を装う「ClickFix」攻撃や悪意あるChatGPTのカスタム機能が利用されていた。

• 同社はバージョン4.0.9.8への更新を呼びかけるとともに、不審な通信の遮断やプロセスの監視を推奨している。

• 独シーメンスは2026年10月、ソフトウェア管理ユーティリティ「Siemens Software Center」に高深刻度の脆弱性が存在し、実際の標的型攻撃で悪用されていることを明らかにした。この問題は、正規プログラムのデジタル署名を隠れ蓑に不正なコードを実行させるもので、「CVE-2026-110936」として採番されている。セキュリティ研究機関の報告によれば、ユーザーを騙してコマンドを実行させる「ClickFix」と呼ばれる手口と組み合わされ、リモートアクセス型トロイの木馬の感染に悪用されていたという。

制御されない検索パスに起因する脆弱性の概要

今回確認された脆弱性「CVE-2026-110936」は、共通脆弱性評価システムCVSS v4のスコアで「8.4」と評価された高深刻度の問題だ。原因は、アプリケーションがDLL（動的リンクライブラリ：複数のプログラムが共有する部品ファイル）を読み込む際、適切に制御されていない検索パスを参照してしまう点にある。

シーメンスのアドバイザリによると、認証を受けたローカルの攻撃者が検索パス内のディレクトリに細工したDLLを配置した場合、対象アプリケーションと同じ権限で任意のコードが実行される危険性があるという。この欠陥は、セキュリティ企業Huntress Labsの研究者であるホセ・オレゴン（Jose Oregon）氏によって発見・報告された。

正規プログラムの「信頼」を隠れ蓑にする手口

本脆弱性の特徴は、正規ソフトウェアが持つ信頼性が悪用された点にある。シーメンスが公開した別のアラートによると、攻撃者は有効な署名を持つ正規の「Siemens Software Center」を用意し、同じ場所に細工したDLL「archive.dll」を配置していた。

攻撃者が本ツールを選定した理由について、シーメンスは「署名済みでシステムから信頼されていることに加え、当時の最新版（バージョン3.5.8.7）が自身のフォルダ内にある補助ファイルを検証せずに読み込んでいたため」と説明している。正規の仕様を悪用して不正なDLLを読み込ませる「DLLサイドローディング」の手法により、セキュリティ製品の検知をすり抜けて悪意あるコードを実行させていた。

ClickFix攻撃と悪意あるCustom GPTによる誘導

実際の攻撃では、多段階の誘導手順が確認されている。攻撃者はWindows標準のインストーラ「msiexec.exe」を用いて「AllMyBasic.msi」を起動し、そこから「SiemensSoftwareCenter.exe」を実行させていた。

この一連の活動は、ClickFix配信基盤「Romulus」によるものと特定されている。ClickFixとは、Webブラウザのエラー修復などを装い、被害者自身に不正なコマンドを実行させる詐欺的な手口だ。Romulusは、DLLサイドローディングを用いて「Legion Loader」などのマルウェアを拡散する基盤として、前週にセキュリティ企業Forescoutによって報告されていた。

さらにHuntress社の調査によれば、一部のキャンペーンでは悪意あるChatGPTの「Custom GPTs」が悪用されていたという。被害者を偽URLへ誘導してClickFixの罠を踏ませ、ユーザーが指示通りのコードを実行するとPowerShell経由でMSIファイルが投下され、最終的にRAT（リモートアクセス型トロイの木馬：遠隔から端末を不正操作するプログラム）が配備される仕掛けとなっていた。

修正版の適用と推奨される調査対応

シーメンスはすでに本脆弱性を修正したバージョン「4.0.9.8」を公開した。利用者に対しては、最新版へアップデートした上で、アプリケーションを一度起動して修正を完全に適用するよう求めている。

あわせて同社は、攻撃に関連する以下の侵害指標（IoC）への通信を遮断するよう推奨している。

• 「96.62.218[.]59」（ペイロードの配置およびC2サーバー）
• 「wizardexpensive[.]com」（同C2ドメイン）
• 「2.27.248[.]127」（AllMyBasic.msiの配布経路）

さらに組織内の端末調査として、「msiexec.exe」によって起動され、「AppData\Local\Programs」ディレクトリ配下から実行されている「SiemensSoftwareCenter.exe」が存在しないか確認することを呼びかけている。