Siemens-Software Center: ClickFix nutzt DLL-Sideloading

ClickFix nutzt DLL-Sideloading gegen Siemens-Nutzer

Siemens hat eine als hochgradig kritisch eingestufte Schwachstelle in Siemens Software Center geschlossen, die unter der CVE-Nummer CVE-2026-11093 registriert ist. Wie The Hacker News berichtet, wurde die DLL-Sideloading-Lücke bereits in aktiven ClickFix-Kampagnen ausgenutzt, um Remote Access Trojans auf Zielsystemen zu installieren. Die Sicherheitslücke ermöglicht es Angreifern, beim Starten von Siemens Software Center manipulierte Dynamic Link Libraries (DLLs) in den Speicher zu laden und damit beliebigen Code auszuführen.

ClickFix ist eine Social-Engineering-Kampagne, die über gefälschte Fehlermeldungen und Browser-Popups Nutzer dazu bringt, schädliche Dateien herunterzuladen oder auszuführen. Angreifer präsentieren sich dabei häufig als technischer Support und leiten Opfer zu manipulierten Webseiten weiter. Die Kombination mit der DLL-Sideloading-Anfälligkeit in Siemens Software Center erhöht die Erfolgsrate erheblich, da legitime Anwendungen des Herstellers als Vehikel für Malware-Auslieferung missbraucht werden.

Die Schwachstelle betrifft betroffene Versionen von Siemens Software Center, wobei der genaue Versionsbereich in den aktuellen Berichten noch ausstehend ist. Siemens hat Patches bereitgestellt und empfiehlt betroffenen Nutzern ein sofortiges Update. Die Nutzung von DLL-Sideloading (auch Dll Hijacking genannt) funktioniert nach einem bewährten Muster: Angreifer platzieren eine schädliche DLL mit dem gleichen Namen wie eine legitime Systemdatei in einem Verzeichnis, das die Anwendung bei ihrem Ladevorgang durchsucht. Die Windows-Suchlogik lädt dann die manipulierte Version statt der echten Datei.

Kritikalität für DACH-Mittelstand und Industrie

Siemens ist in Deutschland, Österreich und der Schweiz eine zentrale Komponente der Digitalinfrastruktur, besonders in der Industrie und dem technischen Mittelstand. Siemens Software Center wird häufig zur Verwaltung von Treibern, Updates und Konfigurationen eingesetzt. Unternehmen, die auf Windows-Systemen mit Siemens-Software arbeiten, sind durch CVE-2026-11093 unmittelbar gefährdet.

Aus DSGVO-Perspektive ist relevant: Gelingt es Angreifern über die Sideloading-Schwachstelle, Remote Access Trojans zu installieren, haben sie potenziell Zugriff auf personenbezogene Daten, Kundenlisten oder technische Geheimnisse. Unternehmen wären in diesem Fall zur Benachrichtigung betroffener Personen oder Behörden verpflichtet. Wie Experten der Cyberagentur des Bundes feststellen, befinden sich Angreifer derzeit im Vorteil, da Sicherheitslücken schneller entdeckt und ausgenutzt werden, als Patches verteilt und installiert werden können — ein Phänomen, das sich auch bei dieser Schwachstelle zeigt, da sie bereits aktiv attackiert wird.

Im DACH-Kontext betrifft dies zudem Unternehmen, die unter die NIS2-Direktive (Netz- und Informationssicherheit) fallen. Betreiber kritischer Infrastrukturen, insbesondere im Bereich Energie, Wasser und Industrieproduktion, müssen ihre Systeme auf den neuesten Stand bringen. Die Sideloading-Anfälligkeit öffnet nicht nur für Remote Access, sondern auch für Seitenwechsel zu weiteren Exploits oder Datendiebstahl Tür und Tor. Hersteller-spezifische Software wie Siemens Software Center wird oft mit erweiterten Berechtigungen ausgeführt, was ein erfolgreicher Angriff unmittelbar zu kritischen Systemkompromittierungen führt.

Mit Verweis auf die wachsende Zahl solcher Schwachstellen wie auch der PHP-Sicherheitslücken zeigt sich ein Muster: Bekannte Anwendungen werden zum Ziel, und Social Engineering (ClickFix) wird als Liefermechanismus genutzt, um technische Lücken erfolgreich auszubeuten.

Sofortige Maßnahmen für Betriebe und Nutzer

Der unmittelbare Take-away ist eindeutig: Alle Siemens-Software-Center-Nutzer müssen ihre Installationen auf die gepatchte Version aktualisieren — ohne Verzögerung. ClickFix-Kampagnen sind darauf ausgelegt, Nutzer unter Zeitdruck zu manipulieren; Angreifer setzen auf Ungeduld und Vertrauen in vermeintliche Support-Meldungen. Das macht eine proaktive Patch-Policy notwendig, statt auf Notfall-Updates zu warten.

Parallel sollten Unternehmen ihre ClickFix-Anfälligkeit audieren: Schulungen zu Social Engineering, Zwei-Faktor-Authentifizierung auf kritischen Konten, Netzwerk-Segmentierung und die Kontrolle von DLL-Load-Pfaden (durch AppLocker oder Windows Defender Application Control) sind zentrale Abwehrmaßnahmen. Systeme mit Siemens-Software sollten auch auf Netzwerk-Ebene überwacht werden — unerwartete Remote-Access-Verbindungen sind ein Indikator für erfolgreiche Angriffe.

Im Kontext von KI-Pentesting und Agent-Security wird zudem relevant, dass solche Lieferketten-Schwachstellen (Sideloading) ein bevorzugtes Ziel für automatisierte Exploit-Suche durch KI-Agenten werden können. Wer seine Systeme schützt, muss diese Szenarien mitdenken.

Quellen

• The Hacker News: ClickFix Attackers Exploit Siemens Software Center Flaw to Deploy Remote Access Trojan
• Help Net Security: Week in review: PHP vulnerabilities patched, exploited Palo Alto GlobalProtect VPN flaw
• Heise Security: „Tal der Tränen": Warum Angreifer bei Sicherheitslücken derzeit im Vorteil sind