Siemens Software Center โหลด DLL ไม่ปลอดภัย CVE-2026-110936

พอดีไล่ฟีด CISA KEV เจอ CVE-2026-110936 ใน Siemens Software Center โปรแกรมสำหรับดาวน์โหลด ติดตั้ง และเปิดใช้งานซอฟต์แวร์ที่ซื้อไว้ ช่องโหว่นี้ถูกนำไปโจมตีจริงแล้ว ข้อมูล KEV ของ CISA ระบุวันที่เพิ่มรายการเป็น 20 ตุลาคม 2026 และวันกำหนดดำเนินการเป็น 3 พฤศจิกายน 2026 ส่วน Siemens มีรุ่นแก้ V4.0.9.8 ให้ใช้งานแล้ว

ใครต้องทำอะไร

• ผู้ใช้ทั่วไป: หากติดตั้ง Siemens Software Center รุ่นเก่า ให้เปิดโปรแกรมรับอัปเดตเป็น V4.0.9.8 หรือใหม่กว่าโดยเร็ว
• ผู้ดูแลระบบ: เร่งตรวจรุ่นและอัปเดตเครื่องที่มีโปรแกรมนี้ พร้อมตรวจร่องรอยการโจมตีตามคำแนะนำ Siemens

เกิดอะไรขึ้น

โปรแกรมค้นหาและโหลด dynamic-link library หรือ DLL จากโฟลเดอร์ที่ควบคุมได้ไม่ปลอดภัย ปัญหานี้จัดอยู่ใน CWE-427: Uncontrolled Search Path Element ผู้โจมตีที่ล็อกอินและเข้าถึงเครื่องได้อาจวาง DLL อันตรายไว้ในโฟลเดอร์ที่โปรแกรมค้นหา เมื่อโปรแกรมโหลดไฟล์นั้น โค้ดของผู้โจมตีก็ทำงานด้วยสิทธิ์ของโปรแกรม

Siemens ให้คะแนน CVSS v4.0 ที่ 8.4 ระดับสูง และ CVSS v3.1 ที่ 6.7 ระดับปานกลาง ทั้งสองแบบระบุการโจมตีจากภายในเครื่องและต้องมีสิทธิ์ระดับสูงอยู่ก่อน ตาม ระเบียน CVE และ SSA-580366

ใน รายงานการโจมตีของ Siemens วันที่ 19 ตุลาคม 2026 ผู้โจมตีนำโปรแกรมจริงที่มีลายเซ็นถูกต้องไปวางคู่กับ DLL อันตราย ตัวโปรแกรมไม่ได้ถูกดัดแปลง แต่โหลดโค้ดจากไฟล์ที่แนบมาด้วย Siemens ระบุว่าเท่าที่ทราบ ระบบ ผลิตภัณฑ์ และช่องทางอัปเดตของบริษัทไม่ได้ถูกเจาะ

ใครโดนและรุ่นที่แก้

Siemens ระบุว่า Software Center ทุกรุ่นก่อน V4.0.9.8 มีช่องโหว่ ให้ตรวจทั้งโปรแกรมที่ติดตั้งตามปกติและสำเนาที่อยู่ในโฟลเดอร์ผิดสังเกต ผู้โจมตีเคยนำโปรแกรมจริงไปแจกคู่กับ DLL อันตรายนอกช่องทางของ Siemens

ตารางนี้อ้างอิง SSA-580366 ซึ่งระบุว่าการติดตั้งเดิมจะอัปเดตอัตโนมัติเมื่อเปิดโปรแกรมครั้งถัดไป และสามารถดาวน์โหลดรุ่นล่าสุดจากเว็บไซต์ Siemens ได้ด้วย ประกาศไม่ได้ให้ workaround เฉพาะสำหรับใช้แทนการอัปเดต

ต้องทำอะไร

เริ่มจากตรวจรุ่นที่ติดตั้ง หากต่ำกว่า V4.0.9.8 ให้ดำเนินการอัปเดตและตรวจเลขรุ่นหลังเสร็จ สำหรับการติดตั้งปกติ Siemens ระบุให้เปิดโปรแกรมเพื่อรับอัปเดตอัตโนมัติ หรือดาวน์โหลดจาก หน้าผลิตภัณฑ์ทางการ ใช้แหล่งดาวน์โหลดของ Siemens เพื่อหลีกเลี่ยงชุดติดตั้งที่ถูกนำไปบรรจุคู่กับไฟล์อื่น

ให้ตรวจรายการเริ่มทำงานและ Task Scheduler หากพบ Siemens Software Center บนเครื่องที่ไม่เคยติดตั้ง ถือเป็นจุดที่ต้องตรวจต่อ มองหา DLL แปลกปลอมข้างไฟล์โปรแกรมด้วย Siemens แนะนำให้ตรวจโปรเซส SiemensSoftwareCenter.exe ที่รันจาก AppData\Local\Programs และถูกเรียกโดย msiexec แล้วเทียบพฤติกรรมกับรายงานผู้ผลิต ไฟล์โปรแกรมที่มีลายเซ็นถูกต้องก็ยังโหลด DLL อันตรายได้

หากพบร่องรอย ให้แยกเครื่องออกจากเครือข่ายและตรวจเหตุตาม คำแนะนำ Siemens หยุดโปรเซสก่อนลบรายการเริ่มทำงานและงานใน Task Scheduler แล้วรีเซ็ตรหัสผ่าน เตือนผู้ใช้ด้วยว่าอย่าคัดลอกคำสั่งจากหน้าเว็บไปวางใน Win+R หรือ PowerShell ตามคำอ้างว่าใช้ตรวจว่าไม่ใช่บอต

ส่วนตัวผมให้แพตช์ทันทีถ้ามีรุ่นเก่า เพราะถูกโจมตีจริงแล้ว ที่มา: CISA KEV / CVE-2026-110936, ข้อมูล KEV ของ CISA และ Siemens SSA-580366 หากมีรายละเอียดเพิ่มเติมจากประกาศทางการ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ