El 19 d'octubre del 2026, Siemens va confirmar que algú està explotant de debò una errada del seu Software Center. El detall que ens va fer parar no és la vulnerabilitat. És que l'executable que es va llançar a les màquines de les víctimes era una còpia autèntica del programa de Siemens, amb la seva signatura digital correcta i intacta. L'atacant no va falsificar res ni va entrar als sistemes de Siemens: va deixar un fitxer anomenat archive.dll a la mateixa carpeta. I el programa, en arrencar, el va carregar.
Els fets, amb dates
La vulnerabilitat és CVE-2026-110936, publicada el 15 d'octubre del 2026 amb una puntuació CVSS v4 de 8,4 i classificada com a CWE-427, «element de ruta de cerca no controlat». Dit clar i català: el programa no restringeix bé en quines carpetes busca els DLL que necessita. El 17 d'octubre Siemens va actualitzar el seu avís per indicar que la versió V4.0.9.8 ho corregeix, i que totes les anteriors estan afectades. El 19 d'octubre va confirmar explotació real. El 20 d'octubre, CISA la va incloure al seu catàleg de vulnerabilitats explotades conegudes, amb data límit per a l'administració federal nord-americana el 3 de novembre.
Siemens va ser explícita: «Que sapiguem, no s'ha vulnerat cap sistema, producte ni canal d'actualització de Siemens». Els atacants van aconseguir una còpia legítima i signada del programa i la van distribuir, juntament amb els seus fitxers maliciosos, fora dels canals oficials. Això no és una cadena de subministrament compromesa. És una cosa més incòmoda: un binari perfectament legítim convertit en vehicle sense tocar-lo.
Què contesta una signatura digital
Una signatura de codi respon a dues preguntes, i les respon bé: qui va construir aquest fitxer i si ha canviat des de llavors. En aquest cas les dues respostes van ser correctes. L'executable era de Siemens i estava íntegre. Qui ho va comprovar, va encertar.
La signatura calla sobre una tercera pregunta, que resulta ser la que importava: què carregarà aquest programa quan s'executi. Windows resol les biblioteques que un programa demana recorrent una llista de carpetes, i la carpeta mateixa del programa és en aquesta llista. Si algú hi col·loca un fitxer amb el nom que el programa espera, l'executable signat el carrega dins del seu propi procés. A partir d'aquell instant, el codi de l'atacant corre dins d'un procés l'editor del qual és Siemens, amb els seus mateixos permisos. La signatura cobria el continent. El contingut va arribar després.
Això no és un judici a Siemens. CWE-427 és una de les classes de defecte més repetides del programari d'escriptori, i apareix cada any en productes de totes les mides; Forescout, que va publicar el 15 d'octubre la seva recerca sobre la plataforma de distribució emprada en aquesta campanya, va documentar també un instal·lador manipulat que es recolzava en una aplicació legítima de Stardock per a la mateixa maniobra. El que ens interessa no és qui té la culpa del defecte, sinó què li fa aquest defecte als controls que tu tens posats.
La teva llista blanca per editor acaba d'aprovar això
Si la política de control d'aplicacions del teu parc diu «es permet allò que estigui signat per un editor conegut» —que és la configuració pragmàtica més habitual, perquè és la que millor sobreviu al contacte amb usuaris reals—, aquesta campanya passa el filtre. No pas perquè el control fallés: perquè va fer exactament el que li vas demanar. L'executable estava signat per un editor conegut.
El mateix val per a la columna «està signat?» del teu inventari de programari i per a la comprovació mental de qui revisa un fitxer abans d'obrir-lo. Tots dos es posaven en verd, i amb raó. Cap dels dos estava dissenyat per respondre la pregunta de la qual depenia la màquina.
Les polítiques que sí que resisteixen aquesta maniobra són les que autoritzen per empremta criptogràfica o per ruta, no per qui signa. El preu d'aquestes polítiques és al manteniment: obliguen a mantenir una llista que canvia amb cada actualització de cada programa, i, pel que hem vist muntant-les, la majoria de les pimes que les encenen acaben apagant-les, perquè el dia que un usuari legítim no pot treballar guanya la discussió l'usuari. Ja vam parlar del que costa mantenir una llista d'empremtes quan vam explicar la llista de drivers bloquejats de Windows són 1.702 hashos: una llista explícita envelleix, i envelleix sola.
El vector diu «local» i la teva cua de pedaços ho llegeix malament
El vector publicat per Siemens és CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Dues peces d'aquesta cadena expliquen per què la nota es queda en 8,4 i no puja més: AV:L significa que l'atac requereix accés local, i PR:H, que l'atacant ja necessita privilegis alts. Sobre el paper, una combinació dolenta per a qui ataca.
Aquesta mateixa lectura és la que fa la teva cua de pedaços un dimarts al matí: local, requereix privilegis, programari que només tenen tres persones d'enginyeria. Al final de la llista. El que el vector no pot expressar —no està fet per a això— és que la campanya regala l'accés local. Algú convenç un empleat de descarregar-se un paquet i executar-lo a la seva pròpia màquina, i amb aquest gest queda cobert el requisit d'accés local. El de privilegis alts el posa la instal·lació mateixa: un paquet que s'instal·la és un paquet que demana elevar. La precondició que feia difícil l'atac l'aporta l'usuari, de franc, a la part de la cadena que CVSS no mira.
És la mateixa regla que vam aplicar en el seu dia quan Acronis demanava accés local i l'hi venies tu: el vector ordena la vulnerabilitat; el catàleg d'explotació ordena el dia. Mentre una errada és teòrica, el vector mana i un 8,4 local pot esperar el cicle mensual. El dia que entra al catàleg de CISA, algú ja ha demostrat que les precondicions es compleixen al món real, i l'argument «requereix accés local» deixa de ser un motiu per esperar. Aquesta hi va entrar el 20 d'octubre.
Sobre com es convenç l'empleat perquè executi el paquet no cal que ens hi estenguem: ho vam explicar fa poc mirant la versió per a Mac de la mateixa tècnica, a el malware que enganxes tu mateix al terminal. Canvia el sistema operatiu i canvia la finestra; la idea que la víctima executi el primer pas amb les seves pròpies mans és la mateixa.
El que sí que deixa rastre
Si la identitat del fitxer no serveix per distingir, el que queda és el comportament. I aquí la maniobra sí que és rara, perquè el programari legítim instal·lat pel departament d'IT gairebé mai no es comporta així. Aquests són els senyals que mirem, en ordre d'utilitat:
- Un executable signat que corre des d'una carpeta on l'usuari pot escriure. Descàrregues, el perfil de l'usuari, una carpeta temporal. La major part del programari que instal·la IT viu a
Program Files, on l'usuari no escriu; la maniobra necessita justament el contrari, perquè l'atacant ha de poder deixar el seu fitxer al costat. - Aquest executable carregant un mòdul sense signar des de la seva pròpia carpeta. És el senyal més específic dels tres i el que converteix la sospita en certesa. Un producte comercial carrega les seves pròpies biblioteques, i aquestes solen venir signades pel mateix editor.
- La cadena de qui va llançar qui. Un navegador o un intèrpret d'ordres que acaba arrencant un instal·lador és una seqüència que s'explica sola quan és legítima, i que costa d'explicar quan no ho és.
Aquí ve la part que no ens convé comercialment i que diem igualment: el primer senyal genera soroll. Hi ha programari legítim que s'executa des de carpetes d'usuari —actualitzadors, eines portàtils, l'instal·lador que algú es va baixar amb permís— i si encens aquesta regla a seques t'arriben avisos cada setmana. Un tauler amb avisos que ningú no classifica no és detecció: és una pantalla encesa. El que separa una cosa de l'altra és que algú els llegeixi i sàpiga descartar.
Tres preguntes per a aquesta tarda
Cap de les tres no és un projecte. Les tres es contesten avui, i el que fa mal no és contestar-les: és descobrir que no pots.
El que ens toca a nosaltres
Quan muntem EDR/MDR gestionat no prometem bloquejar-ho tot, perquè el dia que bloqueges de més el client et demana que ho apaguis. El que sostenim és la part avorrida: regles que miren què fa el procés, no l'etiqueta del fitxer, l'ajust d'aquestes regles contra el programari real de cada client perquè el soroll baixi a alguna cosa classificable, i algú que llegeix els avisos a una hora en què no hi ha ningú més llegint.
Sobre el límit, que ho pregunten a totes les reunions: ningú no pot garantir-te que un agent hagués frenat archive.dll el primer dia. El que sí que canvia de debò és l'endemà. Amb telemetria de processos i mòduls desada, «això s'ha executat aquí?» es contesta en minuts sobre tot el parc; sense ella, es contesta en setmanes i amb un «creiem que no» al davant. Aquesta diferència —entre saber-ho i suposar-ho— és la que acaba decidint si un incident és una tarda dolenta o un trimestre dolent.
Si vols revisar amb nosaltres què autoritza avui la teva política d'aplicacions i quina telemetria estàs desant, és una conversa curta: escriu-nos. I si només fas una cosa després de llegir això, que sigui la segona pregunta de la taula. És la que més fa mal i la que abans s'arregla.
El que la signatura no va contestar mai
La lliçó d'aquesta campanya cap en una frase, i val per a molt més que per a un producte de Siemens: la signatura contesta qui va fer el fitxer, i res sobre què fa aquest fitxer un cop obert. Fa anys que construïm controls sobre la primera pregunta perquè és barata de comprovar i dona una resposta neta. La segona costa més, embruta el tauler i obliga que algú miri. El 19 d'octubre va quedar clar quina de les dues sostenia la màquina.
Fonts. Les dades de CVE-2026-110936 —publicació el 15 d'octubre del 2026, puntuació CVSS v4 de 8,4, vector CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, classificació CWE-427 («uncontrolled search path element»), correcció a la versió V4.0.9.8 amb totes les anteriors afectades, actualització de l'avís el 17 d'octubre, confirmació d'explotació real per part de Siemens el 19 d'octubre, inclusió al catàleg KEV de CISA el 20 d'octubre i data límit federal del 3 de novembre del 2026, i el nom del fitxer maliciós archive.dll— procedeixen de l'avís de Siemens i de la seva recopilació a Rescana i SecurityWeek. La citació de Siemens «No Siemens system, product or update channel was breached to our knowledge», que els atacants van obtenir una còpia legítima i signada i la van distribuir amb fitxers maliciosos fora dels canals oficials, el mecanisme (el programa no restringeix correctament on busca els DLL, de manera que un DLL col·locat en una d'aquelles carpetes s'executa amb els mateixos privilegis que el programa) i la recerca de Forescout publicada el 15 d'octubre del 2026 sobre la plataforma de distribució emprada —inclòs l'instal·lador manipulat que es recolzava en una aplicació legítima de Stardock per a la mateixa maniobra— procedeixen de les mateixes fonts. El funcionament de l'ordre de cerca de biblioteques de Windows, que inclou la carpeta del mateix executable, és comportament documentat del sistema operatiu. La lectura d'AV:L i PR:H com les dues peces que limiten la puntuació, l'argument que la cadena de lliurament aporta de franc la precondició d'accés local, la regla «el vector ordena la vulnerabilitat i el catàleg d'explotació ordena el dia» —ja aplicada en entrades anteriors d'aquest blog—, els tres senyals de comportament, l'advertiment sobre el soroll que genera el primer d'ells i les tres preguntes de la taula són criteri i mètode nostres, no afirmacions de Siemens, de CISA ni de cap de les fonts anteriors. everyWAN presta serveis gestionats d'EDR/MDR: el conflicte d'interès queda declarat. Foto de portada: «My view 090909,09 09», de Håkan Dahlström, Wikimedia Commons, CC BY 2.0.
Microsoft 365
ES 
CAT 
EN