Esta nota tiene dos lectores distintos, y conviene decir cuál es cuál antes de seguir.
Si usás Siemens Software Center, la parte fácil: la versión corregida es la 4.0.9.8, y según Siemens las instalaciones existentes se actualizan solas la próxima vez que arrancan. Verificá que esté en 4.0.9.8 o posterior y listo.
Si nunca instalaste Siemens Software Center, no cierres la página: sos el otro lector, y el más expuesto. Si ese programa aparece en el inicio de una PC que nunca lo tuvo, eso mismo es la alarma. Los atacantes no modifican nada de Siemens: traen su propia copia, genuina y firmada, y la usan de vehículo.
Y la medida que sirve para los dos, que no es técnica: nunca pegues un comando que te dio una página web en Win+R, en Ejecutar o en PowerShell. Lo dice el propio aviso de Siemens, con una frase que conviene memorizar: una verificación real de "no soy un robot" nunca te pide eso.
Cómo funciona la campaña ClickFix que usa el Siemens Software Center
La elección del programa no fue casual, y el aviso lo explica: los atacantes lo eligieron porque está firmado y es de confianza, y porque la versión 3.5.8.7 —la última disponible en ese momento— cargaba archivos auxiliares de su propia carpeta sin verificarlos.
Eso deja una situación incómoda para cualquier defensa basada en reputación de archivos: el ejecutable que corre es el de Siemens, con su firma válida. Lo malicioso está al lado.
Qué dice Siemens que pasó, y qué dice que no pasó
Vale separarlo porque es el tipo de noticia que se cuenta mal. No fue un ataque a la cadena de suministro. El aviso es explícito en tres puntos:
- El programa de Siemens no fue modificado. El código malicioso está en las DLL que aportaron los atacantes.
- Ningún sistema, producto ni canal de actualización de Siemens fue vulnerado, según lo que Siemens sabe.
- La distribución fue fuera de los canales oficiales: el paquete traía el programa firmado junto con los archivos maliciosos.
O sea que esto no es "se infectó la actualización de Siemens". Es un programa legítimo usado de vehículo, descargado desde donde no hay que descargarlo. La falla de Siemens que hace que el truco funcione es real y está corregida, pero el que pone el pie en la puerta es el usuario que pega el comando.
Siemens atribuye la campaña a lo que llama "Romulus multi-platform ClickFix campaign", y dice haber trabajado con fabricantes de EDR y con autoridades para ampliar la cobertura de detección. La falla fue reportada por Jose Oregon, de Huntress Labs.
Por qué un puntaje de 6,7 no describe lo que está pasando
Siemens publicó SSA-580366 el 15 de octubre y lo actualizó 4 días después, el 19, cuando pasó a versión V1.2 del documento. O sea que la versión corregida lleva 8 días disponible y la explotación está confirmada desde hace 4 días. Ahí están los dos puntajes: 6,7 en CVSS 3.1 y 8,4 en CVSS 4.0, los dos calculados por Siemens, que es el CNA de sus propias fallas. La ficha de NVD, al momento de consultarla, seguía en estado "Undergoing Analysis" y no tiene puntaje primario propio de NVD.
Es la misma situación de las cuatro fallas de Plex de ayer: el número que se ve es el del fabricante, no un segundo análisis independiente. Y acá además el vector engaña por otro motivo. Decir "acceso local y privilegios altos requeridos" suena a barrera, y en esta campaña no hay barrera: los privilegios los pone la víctima al aceptar la instalación. El vector describe la debilidad en frío; la campaña aporta el contexto que el vector asume difícil.
El producto afectado es Siemens Software Center en todas las versiones anteriores a la V4.0.9.8.
¿A quién afecta CVE-2026-110936?
Esta es la parte que más se presta a confusión, porque la respuesta no es "a los clientes de Siemens".
A cualquiera que caiga en el ClickFix, haya tenido o no algo de Siemens instalado. El paquete trae el programa consigo. No hace falta ser cliente, ni tener una licencia, ni trabajar en industria.
Si tenés Siemens Software Center instalado de verdad, te toca la parte simple: confirmar que esté en 4.0.9.8 o posterior. Siemens dice que se actualiza solo al arrancar, así que abrirlo una vez alcanza en la mayoría de los casos.
Si administrás PCs de otra gente —un proveedor de IT, el que mantiene las máquinas de una PyME— te toca el trabajo más incómodo: buscar en el parque un programa que no debería estar ahí. Es el mismo problema de inventario que ya apareció con ScreenConnect infectando al técnico: la herramienta legítima en el lugar equivocado.
Si tenés una PyME sin EDR, estás en el grupo donde esto es más difícil de ver, por un motivo concreto que explico en la sección de detección. El encuadre general de qué conviene tener está en la guía de ciberseguridad para PyMEs de LATAM.
¿Quién puede ignorar el aviso de Siemens?
Nadie que use Windows, en el sentido de la recomendación del comando: el ClickFix no depende de Siemens y va a seguir existiendo con otro vehículo. Esa parte es permanente.
El plazo del 3 de noviembre del catálogo de CISA —14 días desde que dio de alta la ficha— sí se puede ignorar si no sos una agencia federal civil de Estados Unidos: es una obligación de esa directiva, no una fecha que le aplique a una PyME de la región. Lo que no se ignora es que la explotación está confirmada por el fabricante.
Y si sos usuario de Linux o macOS, la cadena que describe Siemens es de Windows —MSI, DLL, Ejecutar, tarea programada—, así que este vehículo puntual no te toca. Siemens igual llama a la campaña "multiplataforma", así que el consejo de no pegar comandos de una web en una terminal vale igual.
Lo que no sirve como razón para ignorarlo: tener el antivirus al día. Y no es una opinión mía, es la indicación textual de Siemens a los defensores.
¿Cómo sé si mi PC tiene el Siemens Software Center de los atacantes?
La última línea del diagrama es la frase más útil de todo el aviso, y es de Siemens: "detectá por carpeta y conducta, no por la huella del archivo de Siemens: el archivo en sí es genuino".
Eso es, en una oración, la diferencia entre un antivirus que compara contra una lista de archivos conocidos y algo que mira qué hace un proceso y desde dónde corre. Un ejecutable firmado por Siemens corriendo desde AppData\Local\Programs y lanzado por msiexec no es raro por su contenido: es raro por dónde está y quién lo arrancó. Cuándo se justifica dar ese salto está en cuándo conviene un EDR en una PyME y en la categoría de antivirus y EDR.
Los dos archivos del paquete, con sus huellas SHA-256 según el aviso, por si tenés con qué buscarlas:
AllMyBasic.msi—f4d7c5321bb0d1bda439304a753bcf9b467b98ca53c7e9493b9c2c3451092e4aarchive.dll—3fdcc7d7d049a89711fb31fb236940a1c5a09d899143ffd20c3c41fb1f2cf491
¿Qué hago si encuentro el Siemens Software Center en una PC que no lo instaló?
Los pasos y su orden son los de Siemens. Las explicaciones de por qué, donde las hay, son mías, y el punto 7 es enteramente mío:
- Aislá la PC de la red. Antes de tocar nada.
- Pará el proceso primero, y después sacá la entrada de inicio y la tarea programada. El orden importa: si borrás la persistencia con el proceso vivo, puede volver a escribirla.
- Reseteá contraseñas. Lo pide el aviso de forma explícita. Si las claves estaban guardadas en el navegador de esa PC, son todas, no solo la del usuario. Tener dónde guardarlas sin repetirlas es el tema de la categoría de gestión de contraseñas.
- Bloqueá el IP activo y el dominio en firewall, proxy y resolución de DNS, y buscá en los registros conexiones a los tres indicadores, incluido el canal de distribución que ya está inactivo: una máquina que descargó antes de que cayera puede seguir infectada.
- Buscá DLL inesperadas junto a ejecutables del Software Center fuera de la carpeta de instalación por defecto.
- Actualizá a 4.0.9.8 o posterior y descargá software de Siemens solo de fuentes oficiales de Siemens.
- Si no podés descartar el compromiso, tratá la máquina como comprometida. Esto último es mío, no de Siemens, y es la misma lógica que la de reconstruir en lugar de parchear: cuando lo que entró tuvo ejecución de código y persistencia, limpiar lo que encontraste no prueba que no haya quedado otra cosa.
Una aclaración sobre las fuentes, porque esta nota se apoya en tres documentos y no en coberturas. Lo que sí pude leer: el aviso de explotación activa de Siemens ProductCERT del 19 de octubre, de donde salen la cadena, la atribución, los indicadores de compromiso, las huellas y los pasos de respuesta; el aviso SSA-580366, publicado el 15 de octubre y actualizado el 19 en su versión V1.2, de donde salen los dos puntajes CVSS, el CWE, el rango afectado y el crédito del reporte; y el feed JSON del catálogo KEV de CISA, de donde salen el alta del 20 de octubre y el plazo del 3 de noviembre. Verifiqué además la ficha de NVD de CVE-2026-110936: los puntajes que muestra son los de Siemens como fuente secundaria, y no hay puntaje primario de NVD. Lo que no pude confirmar: nada sobre el alcance de la campaña —cuántas máquinas, en qué países, desde cuándo—, porque el aviso no da cifras y no encontré una fuente primaria que las dé; tampoco qué hace exactamente el código de las DLL más allá de que ejecuta con los privilegios de la aplicación. No describo el comando del ClickFix ni cómo se construye el paquete.
Preguntas frecuentes sobre CVE-2026-110936 y el Siemens Software Center
Nunca instalé nada de Siemens. ¿Me puede pasar igual?
Sí, y es el punto central de este caso. Los atacantes traen su propia copia del Siemens Software Center dentro del paquete que instala la víctima, así que no hace falta haber sido cliente de Siemens ni tener nada de la marca. Al revés: que el Siemens Software Center aparezca en las aplicaciones de inicio o en el Programador de tareas de una PC que nunca lo tuvo instalado es justamente uno de los indicadores de compromiso que publica Siemens.
¿Esto es un ataque a la cadena de suministro de Siemens?
No, según Siemens. El aviso dice que el programa de Siemens no fue modificado y que, por lo que la empresa sabe, ningún sistema, producto ni canal de actualización de Siemens fue vulnerado. El código malicioso está en las DLL que aportan los atacantes, y la distribución fue fuera de los canales oficiales. La falla de Siemens que hace que el truco funcione —cargar DLL de la propia carpeta sin verificarlas— es real y está corregida en 4.0.9.8.
Mi antivirus no detecta nada. ¿Estoy limpio?
No necesariamente, y acá el aviso es inusualmente claro. Siemens le dice a los defensores que detecten por carpeta y por conducta, no por la huella del archivo de Siemens, porque ese archivo es genuino y está firmado con una firma válida. Un antivirus que decide por reputación de archivo no tiene de qué agarrarse. Lo que sí es anómalo es el contexto: un ejecutable firmado corriendo desde AppData\Local\Programs y lanzado por msiexec.
¿Cómo verifico la versión y actualizo el Siemens Software Center?
La versión corregida es la 4.0.9.8, y el rango afectado es "todas las versiones anteriores a V4.0.9.8", según SSA-580366. Siemens dice que todas las instalaciones existentes se actualizan automáticamente en el siguiente arranque, así que en general basta con abrir la aplicación una vez y confirmar la versión. Si hace falta bajarla a mano, el aviso insiste en un punto: solo desde fuentes oficiales de Siemens, porque la distribución maliciosa justamente iba por afuera.
¿Por qué CISA le dio plazo al 3 de noviembre si la explotación ya está confirmada?
Son dos cosas distintas. El plazo del catálogo KEV —14 días desde el alta, en este caso— obliga a las agencias federales civiles de Estados Unidos, por la directiva que el propio catálogo cita, y CISA fija esas fechas con su propio criterio de riesgo. La explotación confirmada, en cambio, es un hecho desde el aviso de Siemens del 19 de octubre. Si no sos una agencia federal estadounidense, el plazo no te obliga; lo que te apura es que el fabricante validó que esto se está usando. En la práctica, actualizar acá cuesta abrir el programa.