Le 20 octobre 2026, la CISA a ajouté à son catalogue KEV deux vulnérabilités qui n'ont rien en commun côté éditeur, mais beaucoup côté attaque : CVE-2026-106931 dans SiteGuard Server Edition (EG Secure Solutions) et CVE-2026-110936 dans Siemens Software Center.
Toutes les deux exigent un accès local à la machine (AV:L). Aucune ne sert à entrer. Elles servent à ceux qui sont déjà entrés : prendre les droits root ou SYSTEM, ou faire exécuter son code par une application de confiance. Et toutes les deux sont exploitées, moins d'une semaine après leur publication.
Vue d'ensemble
| CVE-2026-106931 | CVE-2026-110936 | |
|---|---|---|
| Produit | SiteGuard Server Edition | Siemens Software Center |
| Type | Injection de commandes OS (CWE-78) | Chemin de recherche non contrôlé, DLL (CWE-427) |
| Score CVSS 3 (CNA) | 7.8 (HIGH), JPCERT/CC | 6.7 (MEDIUM), Siemens |
| CVSS 4.0 (CNA) | 8.5 (HIGH), JPCERT/CC | 8.4 (HIGH), Siemens |
| Privilèges requis | faibles (PR:L) | élevés (PR:H) |
| Statut NVD | Deferred | Undergoing Analysis |
| Publication NVD | 2026-10-14 | 2026-10-15 |
| Ajout CISA KEV | 2026-10-20 | 2026-10-20 |
| Échéance CISA | 2026-10-23 | 2026-11-03 |
Aucun des deux scores ne vient de NVD : ce sont ceux des CNA (JPCERT/CC pour SiteGuard, Siemens ProductCERT pour Software Center). Vecteurs publiés (CVSS 3.0 pour SiteGuard, CVSS 3.1 pour Siemens) :
- CVE-2026-106931 :
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - CVE-2026-110936 :
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVE-2026-106931 — SiteGuard Server Edition
Description NVD :
SiteGuard Server Edition contains an OS command injection vulnerability, which may allow an attacker to execute arbitrary OS commands with root or SYSTEM privileges on the system running the affected product.
SiteGuard Server Edition est un pare-feu applicatif web installé directement sur le serveur qu'il protège. C'est ce qui rend la faille sérieuse : le produit tourne avec les droits les plus élevés de la machine, et l'injection permet de faire exécuter des commandes avec ces droits. Avec PR:L, un simple compte local suffit d'après le vecteur de JPCERT/CC.
Versions affectées : NVD ne publie ni configuration CPE ni bornes de version (fiche au statut Deferred). Pour savoir si ta version est concernée et laquelle installer, réfère-toi à l'avis de l'éditeur (eg-secure.co.jp/siteguard/news/alert-202610-1) et à la fiche JVN88474777.
L'échéance CISA est très courte : trois jours, jusqu'au 23 octobre.
CVE-2026-110936 — Siemens Software Center
Description NVD (extrait) :
The affected application loads dynamic-link libraries (DLLs) from an uncontrolled search path. This could allow an authenticated local attacker to place a specially crafted DLL in a directory that the application searches, leading to arbitrary code execution with the privileges of the affected application.
C'est un détournement de DLL classique : l'application cherche une bibliothèque dans un répertoire où un attaquant peut écrire, et charge la sienne. Le code tourne alors avec les privilèges de Software Center, sous l'identité d'un binaire signé Siemens.
Versions affectées : toutes les versions antérieures à V4.0.9.8, d'après la description NVD (pas encore de configuration CPE, la fiche est en cours d'analyse). V4.0.9.8 est la borne indiquée, pas forcément la dernière version : vérifie dans l'advisory SSA-580366.
Siemens a publié le 19 octobre une note dédiée à l'exploitation active de cette CVE (lien dans les références NVD), un jour avant l'ajout au KEV.
Pourquoi des failles locales finissent au KEV
Un AV:L fait baisser la priorité dans la plupart des processus de patch : « il faut déjà être sur la machine ». C'est exactement ce que cherchent les attaquants après un premier accès (phishing, identifiants volés, autre faille) :
- SiteGuard offre une montée directe vers root ou SYSTEM sur un serveur web, souvent exposé ;
- Software Center permet d'exécuter du code sous le couvert d'une application légitime, ce qui aide à passer sous les radars.
NVD et la CISA ne décrivent pas les campagnes. Le profil des deux failles correspond à une étape post-compromission : c'est une déduction, pas une information publiée. Le lien avec des rançongiciels est indiqué comme inconnu pour les deux.
Détection
SiteGuard Server Edition
- Processus enfants inhabituels (shell,
cmd.exe, PowerShell,curl,wget) lancés par les processus de SiteGuard - Comptes locaux, tâches planifiées ou clés SSH créés récemment sur les serveurs protégés
- Modifications de la configuration de SiteGuard ou de ses fichiers sans opération de maintenance associée
Siemens Software Center
- DLL récemment ajoutées dans les répertoires d'installation de Software Center ou dans les répertoires où un utilisateur standard peut écrire et que l'application parcourt
- Chargements de DLL non signées par le processus Software Center (Sysmon, événement 7)
- Processus enfants ou connexions réseau inattendus lancés par Software Center
Mitigation
- SiteGuard : appliquer la mise à jour décrite dans l'avis EG Secure Solutions avant le 23 octobre. En attendant, restreindre au minimum les comptes locaux et les accès shell sur les serveurs protégés.
- Software Center : mettre à jour vers V4.0.9.8 ou ultérieure (échéance CISA : 3 novembre), et vérifier les droits d'écriture sur les répertoires d'installation : un utilisateur standard ne doit pas pouvoir y déposer de fichier.
- Pour les deux : la directive BOD 26-04 citée par la CISA demande un triage forensique. Une mise à jour ne supprime ni une DLL déposée, ni un compte ou une persistance créée par une commande exécutée en root.
Pourquoi surveiller en continu les failles « locales »
Deux CVE notées HIGH et MEDIUM, avec un vecteur local : la plupart des équipes les auraient mises en bas de la pile. Cinq à six jours après leur publication, elles sont au KEV avec trois jours et deux semaines pour corriger.
Avec cveo.tech, inventorie les logiciels installés sur tes serveurs et tes postes, y compris les outils de sécurité et de déploiement, et reçois une alerte dès qu'une CVE qui les concerne entre au catalogue CISA KEV, quel que soit son vecteur.