CISA将Siemens Software Center漏洞列入已利用目录，本地DLL劫持风险需关注

CISA 的已知被利用漏洞（KEV）目录在 2026 年 10 月 20 日新增了 Siemens Software Center 的一个漏洞条目，编号 CVE-2026-110936。进入 KEV 意味着该漏洞已被观察到在真实环境中遭到利用，而不再只是理论风险。对使用西门子工程软件与配套更新工具的团队而言，这是一个需要在本周内确认处置状态的信号，尤其当这些工具被安装在工程师工作站或跳板机上时。

背景：KEV 目录的定位与本次条目

CISA 将 KEV 目录描述为“已被在野利用的漏洞的权威来源”，并建议组织把它作为漏洞管理优先级排序的输入之一。换句话说，KEV 不是一个完整的漏洞清单，而是一份“已经有人动手”的名单。同一页面中同时列出多个厂商的条目，说明该目录持续滚动更新，运维团队需要建立定期比对机制，而不是一次性读完就归档。

根据来源页面，CVE-2026-110936 的条目信息包括：厂商为 Siemens，产品为 Software Center；漏洞类型为非受控搜索路径元素（Uncontrolled Search Path Element，对应 CWE-427）；描述称该漏洞可能允许一个已认证的本地攻击者，把特制的 DLL 放入应用程序会搜索的目录中，从而以受影响应用的权限执行任意代码。条目注明“是否已知被用于勒索软件活动”为 Unknown，是否按 BOD 26-04 要求进行取证排查为 No，加入日期为 2026-10-20，修复截止日期为 2026-11-03。条目给出的附加参考链接指向西门子产品 CERT 的公告页面（ssa-580366）以及 NVD 条目。

需要说明的是：来源页面没有给出受影响的具体版本范围、CVSS 评分、利用方式的技术细节，也没有说明已被利用的具体场景。这些内容需要以西门子官方公告和 NVD 条目为准，本文不对其做推测。

核心变化：为什么一个“本地”漏洞值得进 KEV

从字面看，CWE-427 要求攻击者已经具备本地认证权限，似乎门槛不低。但编辑分析认为，它进入 KEV 的意义不在于“远程可直接打穿”，而在于攻击链中的位置。

第一，本地权限在真实入侵中往往并不稀缺。钓鱼获得初始凭据、共享终端、多人共用的工程站、承包商临时账号，都可能让攻击者拿到一个普通本地会话。此时一个可被写入并会被应用加载的搜索路径，就是把普通权限提升为“以该应用权限执行代码”的跳板。

第二，Software Center 这类工具通常承担软件分发与更新职责，其运行权限和可信度较高。若被劫持，攻击者获得的不只是一次执行机会，还可能影响后续的软件安装链路，形成持久化。

第三，KEV 的价值在于时间信号。来源给出的截止日期是 2026-11-03，从加入日期算起约两周，这与该目录中其他条目动辄数天的窗口相比相对宽松，但仍要求组织在短期内完成确认与缓解。条目同时明确，缓解措施应按厂商说明执行，并在缓解不可用时按 BOD 26-04 的指引处理云服务或停用产品。对于非美国联邦机构，BOD 26-04 本身不具强制力，但其截止日期可作为内部 SLA 的参考基线。

影响分析：哪些团队需要行动

编辑分析认为，优先级可按资产角色划分。

高优先级：工程师工作站、编程与组态终端、装有多套西门子工程软件的主机，以及承担软件分发的管理服务器。这些机器通常账号共享、权限偏宽、补丁节奏受制于生产窗口，是本地提权类漏洞的典型温床。

中优先级：用于远程运维的跳板机与虚拟桌面。它们本身不一定装 Siemens Software Center，但常作为进入 OT 网络的入口，一旦被本地提权，横向移动成本会明显下降。

相对低优先级：与工程环境隔离、且未安装相关软件的普通办公终端。但仍建议在资产库中确认“是否安装”，而不是凭印象排除。

从合规与审计角度，KEV 条目常被安全团队用作“必须处理”的清单。若组织有漏洞管理 KPI，本条目应在截止日期前留下可追溯的处置记录：要么已升级到厂商修复版本，要么已实施厂商建议的缓解措施并有验证证据。来源未说明是否存在无需升级即可完全消除风险的配置项，因此不应假设“改个配置就万事大吉”。

另外值得注意的是，同批条目中还有 PHP、Collabora、Arista、Plex 等产品，其中部分条目要求取证排查。这提示运维团队：KEV 应作为例行比对对象，单个条目处理完并不代表本轮工作结束。

行动建议：面向开发与运维的落地步骤

以下建议基于来源事实与通用漏洞管理实践，不涉及任何可用于攻击的操作细节。

1. 先做资产确认。通过软件清单、EDR 资产数据或配置管理数据库，确认哪些主机安装了 Siemens Software Center，记录版本与安装路径。对无法确认版本的主机，标记为待核实，不要默认“应该是最新的”。

2. 以厂商公告为准制定修复方案。来源仅提供西门子产品 CERT 公告链接与 NVD 链接，具体受影响版本与修复版本请以这两处为准。来源未说明修复版本号，因此本文不给出具体版本。

3. 按截止日期倒排计划。把 2026-11-03 作为参考节点，结合内部变更窗口提前安排。若生产环境不允许即时升级，应先落实厂商建议的缓解措施，并记录残余风险与复核时间。

4. 收紧本地权限与目录写权限。CWE-427 的利用前提之一是攻击者能向被搜索的目录写入文件。检查工程站是否存在普通用户可写的应用目录、共享目录被加入搜索路径、以及多人共用高权限账号的情况。最小权限与账号隔离是长期有效的结构性缓解。

5. 加强终端检测与审计。关注应用目录中异常新增的 DLL、与 Software Center 进程相关的异常子进程、以及非工作时间的软件安装行为。来源未说明具体的利用指标，因此检测规则应基于行为基线而非照搬特征。

6. 评估取证需求。该条目在来源中标注取证排查要求为 No，但这不等于可以跳过日志留存。若组织怀疑相关主机已被入侵，应保留镜像与日志并按内部流程处置。

7. 建立 KEV 例行比对。建议至少每周比对一次 KEV 目录（官方提供 CSV 与 JSON 格式），把新增条目自动映射到资产库，减少人工遗漏。

最后提醒：不要因为“需要本地权限”而降低优先级。在 KEV 语境下，已经被利用的事实比理论门槛更重要。对开发者而言，如果自研工具同样从当前目录或可写路径加载库文件，也应借此机会审视自身的加载逻辑，避免复刻同类缺陷。

资料来源

• CISA Known Exploited Vulnerabilities Catalog（含 CVE-2026-110936 条目）
• Siemens ProductCERT 公告 SSA-580366（条目附加参考）
• NVD 条目 CVE-2026-110936（条目附加参考）

本文由自动化系统筛选公开技术信息，并经 AI 辅助整理。