Siemens corrige une vulnérabilité XSS dans la redirection d’authentification de Teamcenter sur quatre branches de versions

Siemens a corrigé une vulnérabilité de type cross-site scripting réfléchi dans Teamcenter, qui pouvait permettre à un attaquant distant d’exploiter la session active d’un utilisateur authentifié.

Référencée sous le numéro CVE-2026-58113, cette faille concerne le flux de redirection d’authentification /auth/ dans quatre branches de versions de Teamcenter. L’attaquant n’a pas besoin de disposer d’un compte, mais l’exploitation nécessite qu’un utilisateur authentifié ouvre une URL spécialement conçue à cet effet.

Siemens a publié son avis de sécurité le 8 septembre 2026. Le 15 septembre 2026, la CISA a republié l’avis de Siemens ProductCERT afin d’en accroître la visibilité auprès des opérateurs industriels et des organisations d’importance critique.

Quatre branches de Teamcenter nécessitent une mise à jour

La CVE-2026-58113 concerne Siemens Teamcenter V2412, V2506, V2512 et V2606. Les déploiements exécutant une version antérieure aux seuils suivants restent vulnérables :

Branche Teamcenter	Versions concernées	Première version corrigée
V2412	Toutes les versions antérieures à V2412.0013	V2412.0013
V2506	Toutes les versions antérieures à V2506.0010	V2506.0010
V2512	Toutes les versions antérieures à V2512.2607	V2512.2607
V2606	Toutes les versions antérieures à V2606.2607	V2606.2607

Les administrateurs doivent effectuer la mise à niveau vers ces versions ou vers une version ultérieure disponible pour la branche concernée. Siemens recommande d’utiliser la dernière version disponible plutôt que de considérer la version minimale corrigée comme une cible à long terme.

Teamcenter est utilisé pour la gestion du cycle de vie des produits et les processus d’ingénierie associés. Dans les organisations concernées, les sessions authentifiées peuvent donner accès à des données produit, des conceptions, des informations de production ou d’autres ressources opérationnelles, selon les autorisations de chaque utilisateur.

Les déploiements concernés se trouvent dans le monde entier. La CISA associe ce produit aux secteurs de la fabrication critique et des technologies de l’information, tandis que Siemens a son siège en Allemagne.

Le script malveillant passe par le flux de redirection /auth/

La vulnérabilité résulte d’un encodage incorrect de données contrôlées par l’utilisateur lors de la génération d’une page web. Elle est classée CWE-79, qui correspond à une neutralisation incorrecte des données d’entrée associées au cross-site scripting.

Dans ce cas, l’attaquant construit une URL ciblant le point de terminaison /auth/ de Teamcenter et place une charge utile JavaScript dans une donnée traitée par le processus de redirection d’authentification. L’application réinjecte cette donnée dans un attribut HTML sans l’encoder correctement pour ce contexte.

Lorsqu’un utilisateur authentifié charge l’URL, le navigateur interprète le contenu injecté comme un script exécutable plutôt que comme du texte inerte. Le code s’exécute alors dans le contexte de sécurité associé à la session Teamcenter de la victime.

Il s’agit d’une vulnérabilité XSS réfléchie : la valeur malveillante est transmise dans la requête et apparaît dans la réponse immédiate. L’attaquant n’a pas besoin d’enregistrer la charge utile dans Teamcenter au préalable.

L’attaque implique donc deux rôles distincts. L’attaquant peut rester non authentifié, tandis que l’utilisateur ciblé doit déjà disposer d’une session Teamcenter valide et ouvrir le lien spécialement conçu. La diffusion peut passer par n’importe quel canal permettant de rediriger un utilisateur vers une URL, mais aucune campagne ni technique de diffusion précise n’a été signalée.

Une exploitation réussie hérite des privilèges de la victime

Un code JavaScript exécuté dans un contexte Teamcenter authentifié peut lire les informations accessibles à l’utilisateur ciblé ou lancer des actions au moyen de sa session. L’impact concret dépend donc du niveau d’autorisation de la victime.

La compromission de la session d’un utilisateur disposant de droits strictement limités exposerait moins de ressources que celle d’un compte appartenant à un administrateur de l’ingénierie, à un responsable de projet ou à un autre membre du personnel privilégié. Les organisations doivent donc donner la priorité aux systèmes utilisés par des comptes bénéficiant d’un accès étendu aux informations sensibles relatives aux produits et aux opérations.

Siemens et la CISA attribuent à la CVE-2026-58113 un score de base CVSS v3.1 de 6,1, correspondant à un niveau de gravité moyen. Son vecteur complet est le suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Ce vecteur décrit une attaque réalisable via le réseau, de faible complexité et ne nécessitant aucun privilège de la part de l’attaquant. Une interaction de l’utilisateur est obligatoire. L’évaluation du changement de périmètre tient compte du franchissement d’une limite de sécurité par le script injecté et de son exécution via la session du navigateur.

L’évaluation fait état d’impacts faibles sur la confidentialité et l’intégrité. Elle ne retient aucun impact direct sur la disponibilité : le scénario documenté n’implique donc pas de perturbation du fonctionnement de Teamcenter.

Un niveau de gravité moyen ne doit pas minimiser l’importance du rôle de la victime. Les actions effectuées au niveau d’une session peuvent avoir de lourdes conséquences lorsque le compte ciblé donne accès à des ressources d’ingénierie ou de fabrication de grande valeur.

Aucune exploitation confirmée ni échéance KEV n’a été signalée

Aucune organisation touchée, tentative d’exploitation confirmée ou campagne malveillante associée à la CVE-2026-58113 n’a été signalée. Aucun indicateur de compromission spécifique n’a été publié.

Les informations disponibles dans la NVD n’identifient pas non plus cette vulnérabilité comme faisant partie du catalogue des vulnérabilités exploitées connues de la CISA. Aucune date d’ajout au catalogue KEV ni échéance fédérale de remédiation n’est donc disponible, et il ne faut pas en déduire une.

L’absence d’inscription au catalogue KEV signifie qu’aucun élément public ne montre ici que des attaquants exploitent la faille dans la nature. Elle n’élimine pas le risque lié aux installations Teamcenter accessibles depuis Internet ni celui que présentent les utilisateurs susceptibles d’être incités à suivre des liens externes.

Enzo Alvarez, de Bishop Fox, a signalé la vulnérabilité à Siemens. Le fournisseur suit le traitement de cette faille dans l’avis Siemens ProductCERT SSA-157465.

La mise à jour constitue la principale défense

Les administrateurs doivent commencer par recenser les serveurs Teamcenter, identifier leurs branches de versions et comparer les versions installées aux seuils de correction. Chaque instance vulnérable doit être mise à niveau au moins vers la version corrigée correspondante.

Les installations exposées sur Internet doivent faire l’objet d’une attention immédiate. Les équipes doivent également donner la priorité aux déploiements utilisés par des comptes privilégiés ou donnant accès à des données sensibles de conception, de production et de gestion du cycle de vie des produits.

Tant que les mises à jour ne sont pas terminées, les organisations peuvent réduire — sans l’éliminer — le risque grâce à plusieurs mesures :

• Limiter l’exposition directe de Teamcenter et des composants associés des systèmes de contrôle à Internet.
• Placer les systèmes concernés derrière des pare-feu et appliquer des contrôles d’accès adaptés à leur rôle opérationnel.
• Séparer les environnements de fabrication ou de contrôle des réseaux informatiques généraux de l’entreprise.
• Utiliser une infrastructure VPN sécurisée et entièrement mise à jour lorsque l’accès à distance est nécessaire.
• Limiter la navigation avec des comptes privilégiés et avertir les utilisateurs authentifiés de ne pas ouvrir de liens d’authentification Teamcenter inattendus.
• Surveiller les requêtes adressées au flux /auth/ afin de détecter des paramètres inhabituels, du contenu de script encodé ou des schémas de référents externes suspects.
• Examiner les actions anormales effectuées par des comptes authentifiés, en particulier après des requêtes de redirection inhabituelles.
• Appliquer des contrôles de sécurité du navigateur et du web capables de limiter l’exécution de scripts lorsque cela est compatible avec le fonctionnement de Teamcenter.

Aucune mesure de contournement spécifique permettant de neutraliser complètement le traitement vulnérable des données d’entrée n’a été communiquée. La segmentation réseau, la surveillance et la sensibilisation des utilisateurs sont des mesures compensatoires, et non des substituts à la mise à jour de Siemens.

Les défenseurs doivent évaluer les changements au regard des risques opérationnels

Les environnements de fabrication et d’ingénierie nécessitent souvent des fenêtres de maintenance contrôlées, car les changements apportés aux applications peuvent affecter les processus interconnectés et les systèmes dépendants. Siemens recommande de réaliser une analyse d’impact et une évaluation des risques avant de déployer des mesures de protection.

Lorsque les contraintes opérationnelles imposent un déploiement progressif, les organisations doivent tester la version corrigée de Teamcenter avec les processus d’authentification, d’ingénierie et de gestion du cycle de vie des produits avant de l’étendre à grande échelle. Cette démarche ne doit toutefois pas se transformer en report indéfini, en particulier pour les systèmes accessibles depuis l’extérieur.

Après l’application des correctifs, les défenseurs doivent vérifier que chaque nœud des déploiements en cluster ou distribués a bien été mis à niveau. Ils doivent également s’assurer que d’anciennes instances, des serveurs de test et des environnements externes oubliés n’exécutent plus de versions vulnérables.

Les équipes de sécurité qui enquêtent sur une activité suspecte doivent conserver les journaux web, d’authentification, de proxy et de session pertinents. Aucun indicateur spécifique à cette vulnérabilité n’ayant été publié, la détection doit se concentrer sur les requêtes /auth/ anormales et les actions inattendues effectuées au moyen de sessions authentifiées. Toute activité malveillante présumée peut être signalée selon les procédures établies par l’organisation et, le cas échéant, à la CISA.