Siemens Software Centerの脆弱性CVE-2026-110936

CVE-2026-110936とは何か：Siemens Software Centerで確認された脆弱性の概要

2026年10月15日、Siemens Software CenterにCWE-427「Uncontrolled Search Path Element（制御されていない検索パス要素）」に分類される脆弱性が公開された（CVE ID: CVE-2026-110936、最終更新: 2026年10月21日、出典: CVE Program — cve.org）。

この脆弱性の核心は、Siemens Software CenterがDLL（ダイナミックリンクライブラリ）を読み込む際に、ロードするファイルのパスを適切に制御していない点にある。認証済みのローカル攻撃者が、アプリケーションの検索ディレクトリに細工したDLLを配置した場合、そのアプリケーションの実行権限で任意のコードが実行される可能性がある。

影響を受けるバージョンはV4.0.9.8未満のすべてである。CVSSスコアはSiemens（CNA）自身が評価しており、CVSS 3.1で6.7（MEDIUM）、CVSS 4.0で8.4（HIGH）と記録されている。

2026年10月20日、この脆弱性はCISAの「Known Exploited Vulnerabilities（KEV）カタログ」に追加された（出典: CISA KEV）。KEV掲載は「実際の悪用が確認された」ことを公式に示す。自社システムが影響を受けるかどうかは別途確認が必要だが、更新対応の優先度を引き上げる根拠として十分に機能する。Siemensのアドバイザリ自体も、悪用が確認されているとするブログ記事へのリンクを追加している（2026年10月19日改訂）。

ほかの製品の脆弱性も同じように確認すべきかは、VMware ESX脆弱性で解説しています。

関連記事Cisco SD-WAN Managerの脆弱性は？

攻撃が成立する条件：DLLサイドローディングの仕組みと脅威レベルの正確な理解

この脆弱性の攻撃ベクタはローカル（AV:L）であり、インターネット経由での直接攻撃には使えない。

CVSS 4.0の内訳を確認すると、攻撃の複雑さは低（AC:L）、前提条件なし（AT:N）、実行に必要な権限は高権限（PR:H）、ユーザーの関与は不要（UI:N）とされている。機密性・完全性・可用性のいずれにも高い影響（VC:H/VI:H/VA:H）が及ぶと評価されている。

EPSS（悪用される確率の統計的推定）は2026年10月29日時点で0.00967（パーセンタイル: 0.617）と記録されている（出典: FIRST EPSS）。これは確率の推定値であり、悪用されると断定するものではない。

CVE-2026-110936の主要評価情報：対応優先度判断のための整理

本CVEの特性を主要な評価指標ごとに整理する。脆弱性管理ツールや社内の優先度決定プロセスでの参照に使えるよう、各値の実務上の意味も併記した。

評価項目	CVE-2026-110936の記録値	実務上の判断ポイント
CVSS 3.1 スコア（評価者: Siemens）	6.7（MEDIUM）	ローカルアクセス・高権限が必要なため中程度に落ち着く。古いツールはこの値を参照する
CVSS 4.0 スコア（評価者: Siemens）	8.4（HIGH）	新基準では機密性・完全性・可用性すべて高影響。CVSS 3.1との乖離に注意が必要
攻撃ベクタ	ローカル（AV:L）	リモートからの直接攻撃は不可
必要権限	高権限（PR:H）	特権アカウントを持つ攻撃者が対象
CISA KEV掲載	あり（追加日: 2026-10-20、対処期限: 2026-11-03）	実際の悪用が確認済み。期限は米連邦機関向けだが、更新優先度を上げる根拠として有効
ランサムウェアでの利用	Unknown（CISA記録）	不明とされている
EPSS（悪用確率の統計的推定）	0.967%（パーセンタイル: 61.7%、2026-10-29時点）	推定値であり断定ではない。KEV掲載の事実と合わせて総合判断する
影響を受けるバージョン	V4.0.9.8未満	V4.0.9.8以降へ更新（Siemensアドバイザリ SSA-580366。既存版は次回起動時に自動更新）
公式回避策	更新以外の記載なし	Siemensアドバイザリは更新を示している
弱点の種類	CWE-427	Uncontrolled Search Path Element。DLLサイドローディング脆弱性の典型的な分類

出典: CVE Program — CVE-2026-110936、CISA Known Exploited Vulnerabilities Catalog

対処——Software CenterをV4.0.9.8以降へ更新する

• Software CenterをV4.0.9.8以降へ更新する。Siemensのアドバイザリによれば、既存のSoftware Centerは次回起動時に自動更新される（Siemens ProductCERT SSA-580366）。
• 更新以外の回避策は、アドバイザリに記載がない。
• CISAの対処期限は2026年11月3日。米連邦機関向けの期限で、日本企業への義務ではない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

評価の食い違いに注意する

本件はCVSS 3.1が6.7（MEDIUM）、CVSS 4.0が8.4（HIGH）と評価が分かれている。どちらの版を参照するかで算出される優先度が変わる。ランサムウェアでの利用は、CISAのKEV記録では「Unknown（不明）」である。

---

参考文献

• CVE Program — CVE-2026-110936: https://www.cve.org/CVERecord?id=CVE-2026-110936
• NVD (National Vulnerability Database) — CVE-2026-110936: https://nvd.nist.gov/vuln/detail/CVE-2026-110936
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog