أكدت شركة Siemens في 19 أكتوبر 2026 تعرض برنامج Siemens Software Center لاستغلال نشط يستهدف الثغرة الأمنية (CVE-2026-110936)، وذلك ضمن حملة هجمات سيبرانية تعتمد أسلوب ClickFix وتطلق عليها الشركة اسم Romulus. وتندرج هذه الثغرة ضمن فئة تحميل ملفات مكتبات (DLL) من مسار بحث غير مضبوط، وقد بادرت الشركة بإصدار النشرة الأمنية SSA-580366 في 15 أكتوبر، أتبعتها بإطلاق التحديث الأمني للإصدار 4.0.9.8 في 17 أكتوبر لمعالجة الخلل.
تصنف النشرة هذه الثغرة تحت المعرف CWE-427، وتوضح أنها تمنح مهاجماً محلياً مصادقاً عليه القدرة على زرع ملف DLL معدل في مجلد يبحث فيه البرنامج، ما يؤدي إلى تنفيذ شيفرة برمجية بصلاحيات التطبيق المستهدف. وقد مُنحت الثغرة تقييماً عالي الخطورة بدرجة 8.4 وفق معيار CVSS v4.0، وتقييماً متوسطاً بدرجة 6.7 وفق معيار CVSS v3.1. تؤثر هذه الثغرة على كافة الإصدارات التي تسبق الإصدار 4.0.9.8، وقد نُسب اكتشافها والإبلاغ عنها للباحث Jose Oregon من شركة Huntress Labs.
بحسب Siemens، يعتمد المهاجمون في هذه الحملة تكتيكاً دقيقاً؛ حيث يستخدمون نسخة أصلية من البرنامج تحمل توقيعاً رقمياً صالحاً، ويضعون ملفاتهم الخبيثة بجوارها. وقع الاختيار على الإصدار 3.5.8.7 ليكون الحامل لهذه الملفات كونه الإصدار الأحدث في حينه، ولأنه يقوم بتحميل الملفات المساعدة من مجلده دون إجراء فحص أمني مسبق. وتشدد Siemens على أن شيفرة برنامجها الأساسي لم تتعرض لأي تعديل، وأن النظام أو منتجات الشركة أو قنوات التحديث الخاصة بها لم تُخترق، بل تكمن الشيفرة الخبيثة حصراً في ملفات DLL التي يوفرها المهاجمون، والتي يحملها الإصدار المصاب عند التشغيل.
تتقاطع حملة Romulus التي كشفت عنها Siemens مع تقرير أصدره فريق Vedere Labs التابع لشركة Forescout في 15 أكتوبر، والذي رصد منصة تحمل الاسم ذاته تعمل على إيصال حمولات خبيثة متعددة، من ضمنها LegionLoader، بأسلوب ClickFix. ورغم أن تحليل Forescout لم يأتِ على ذكر Siemens أو الثغرة المذكورة، إلا أنه أشار إلى ستة عناوين شبكية تشغل المنصة، من ضمنها العنوان (2.27.248.127) الذي وثقته Siemens في تقريرها. ويرتكز أسلوب ClickFix على تكتيكات الهندسة الاجتماعية لإقناع الضحية بتنفيذ أوامر برمجية يدوياً ضمن نوافذ Run أو PowerShell، ما دفع Siemens للتحذير بشدة من لصق أي أوامر منسوخة من صفحات الويب في هذه النوافذ.
حددت الشركة مجموعة من مؤشرات الاختراق المرتبطة بالحملة، شملت عنوان الاتصال (96.62.218.59) والنطاق (wizardexpensive.com)، واللذان يصنفان كبنية تحتية نشطة لاستضافة الحمولات والتحكم. كما شملت المؤشرات العنوان (2.27.248.127) الذي استخدم لتوزيع الحزمة الخبيثة (AllMyBasic.msi)؛ ورغم توقف هذا العنوان عن تقديم الملفات، تحذر الشركة من أن الأجهزة التي حملت الملفات منه مسبقاً قد تكون قيد الإصابة.
توصي Siemens بالترقية الفورية للبرنامج إلى الإصدار 4.0.9.8 أو ما يليه، علماً أن التحديث يُثبت تلقائياً عند التشغيل. وتتضمن التوصيات حصر تنزيل البرامج بالمصادر الرسمية، وحجب مؤشرات الاختراق المذكورة. وعلى صعيد الرصد الأمني، تنصح الشركة بمراقبة السلوك بدلاً من الاعتماد على بصمة الملف التنفيذي كونه أصلياً، وذلك عبر مراقبة تشغيل ملف (SiemensSoftwareCenter.exe) من مسار (AppData\Local\Programs) إثر إطلاقه بواسطة (msiexec). وتتضمن المؤشرات المادية للإصابة وجود مجلد باسم (SM Software Provisioning Service) في المسار ذاته، إضافة إلى ظهور ملفي (activate.bak) و(statinfosta.DB) بجوار البرنامج الأصلي. ولم تفصح الشركة حتى الآن عن حجم الأجهزة المتضررة.
