Siemens Software Center の DLL 検索パスでコード実行（KEV・悪用確認済み）

Medium（CVSS 6.7）に分類されるSiemens Siemens Software Center（V4.0.9.8 未満）の脆弱性です。**Siemens のソフトウェア配布・更新ツール Siemens Software Center が、制御されていない検索パスから DLL を読み込む欠陥がある。** Siemens のアドバイザリ SSA-580366（2026年10月15日公開）によれば、対象は **V4.0.9.8 より前の全版**で、細工した DLL をアプリケーションが探すフォルダに置かれると、アプリケーションの権限で任意のコードが実行される（DLL サイドローディング）。CVSS 3.1 は **6.7 Medium**、CVSS 4.0 は **8.4 High**（Siemens 採点）。 **悪用は確認済み。** Siemens は10月19日の告知で、本件の実際の悪用を確認したとしている。攻撃者は、署名済みの正規のプログラムに悪意のある DLL を添えて、Siemens の公式経路の外で配っていた。当時の最新版 3.5.8.7 は自分のフォルダの補助ファイルを検証せずに読み込んでいた。Siemens 自身のシステムや更新経路の侵害は無いとしている。CISA は10月20日に KEV へ収載した（是正期限 **2026年11月3日**）。**CVSS 3.1 は 7.0 未満だが、悪用が確認されているため本サイトの掲載基準（KEV 収載）で載せている。**

**V4.0.9.8 以上へ上げる。** Siemens によれば、既存のインストールは次にアプリケーションを起動したときに自動で更新される。最新版は Siemens のダウンロードページからも入手できる。製品固有の回避策は示されていない。 **入手経路を確かめる。** Siemens は、ソフトウェアを Siemens の公式経路からだけ入手するよう求めている。公式以外の場所から入れたものは、正規の署名があっても信用しない。 **侵害の確認。** Siemens の告知は、既定のインストール先以外で Siemens Software Center の実行ファイルの隣に見慣れない DLL が無いかを探すこと、告知に挙がった IP アドレスとドメインを遮断し、ログでそれらへの接続を探すことを勧めている。Web ページの指示に従って Win+R や PowerShell にコマンドを貼り付けないことも注意喚起している。侵害が疑われたら端末を隔離し、インシデント対応の手順に従う。 **完了条件**は、（1）全ての端末の Siemens Software Center が V4.0.9.8 以上であること、（2）公式経路以外から入れたものが無く、不審な DLL が無いことを確かめたこと、の2点である。

Siemens Siemens Software Center（V4.0.9.8 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-110936）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/11/03 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。