Siemens corregge una vulnerabilità XSS nei reindirizzamenti di autenticazione di Teamcenter in quattro rami di release

Siemens ha corretto una vulnerabilità di cross-site scripting riflesso in Teamcenter che poteva consentire a un attaccante remoto di sfruttare la sessione attiva di un utente autenticato.

Identificata come CVE-2026-58113, la vulnerabilità interessa il flusso di reindirizzamento dell’autenticazione /auth/ in quattro rami di release di Teamcenter. L’attaccante non deve disporre di un account, ma per sfruttarla è necessario che un utente autenticato apra un URL appositamente predisposto.

Siemens ha pubblicato inizialmente il proprio avviso l’8 settembre 2026. Il 15 settembre 2026, CISA ha ripubblicato l’avviso di Siemens ProductCERT per aumentarne la visibilità tra i gestori di infrastrutture industriali e critiche.

È necessario aggiornare quattro rami di Teamcenter

CVE-2026-58113 interessa Siemens Teamcenter V2412, V2506, V2512 e V2606. Le installazioni che utilizzano versioni precedenti alle soglie indicate di seguito restano vulnerabili:

Ramo di Teamcenter	Versioni interessate	Prima versione corretta
V2412	Tutte le versioni precedenti a V2412.0013	V2412.0013
V2506	Tutte le versioni precedenti a V2506.0010	V2506.0010
V2512	Tutte le versioni precedenti a V2512.2607	V2512.2607
V2606	Tutte le versioni precedenti a V2606.2607	V2606.2607

Gli amministratori dovrebbero eseguire l’aggiornamento a queste release o a una versione successiva disponibile per il ramo corrispondente. Siemens raccomanda di utilizzare la release più recente disponibile, anziché considerare la build minima corretta un obiettivo a lungo termine.

Teamcenter viene utilizzato per la gestione del ciclo di vita dei prodotti e per i relativi flussi di lavoro ingegneristici. Nelle organizzazioni interessate, le sessioni autenticate possono esporre dati sui prodotti, progetti, informazioni sulla produzione o altre risorse operative, in base alle autorizzazioni di ciascun utente.

Le installazioni interessate sono distribuite in tutto il mondo. CISA associa il prodotto ai settori della produzione critica e dell’Information Technology, mentre Siemens ha sede in Germania.

Lo script malevolo passa dal flusso di reindirizzamento /auth/

La vulnerabilità deriva dalla codifica errata di dati controllati dall’utente durante la generazione delle pagine web. È classificata come CWE-79, ovvero neutralizzazione impropria dell’input associato al cross-site scripting.

In questo caso, l’attaccante crea un URL destinato all’endpoint /auth/ di Teamcenter e inserisce dati contenenti un payload JavaScript in un input gestito dal processo di reindirizzamento dell’autenticazione. L’applicazione riflette tale input in un attributo HTML senza codificarlo correttamente per quel contesto.

Quando un utente autenticato carica l’URL, il browser interpreta il contenuto iniettato come uno script eseguibile anziché come semplice testo. Il codice viene quindi eseguito nel contesto di sicurezza associato alla sessione Teamcenter della vittima.

Si tratta di un problema di XSS riflesso: il valore malevolo viene trasmesso nella richiesta e compare nella risposta immediata. L’attaccante non deve aver precedentemente memorizzato il payload in Teamcenter.

L’attacco prevede quindi due ruoli distinti. L’attaccante può rimanere non autenticato, mentre l’utente preso di mira deve avere già una sessione Teamcenter valida e aprire il link creato ad hoc. La distribuzione può avvenire attraverso qualsiasi canale in grado di indirizzare un utente verso un URL, sebbene non siano state segnalate campagne o tecniche di distribuzione specifiche.

Lo sfruttamento riuscito eredita i privilegi della vittima

Il codice JavaScript eseguito in un contesto Teamcenter autenticato può leggere le informazioni disponibili all’utente preso di mira o avviare azioni attraverso la sua sessione. L’impatto concreto dipende quindi dal livello di autorizzazione della vittima.

Una sessione compromessa appartenente a un utente con privilegi fortemente limitati esporrebbe meno risorse rispetto a una associata ad amministratori dell’ingegneria, responsabili di progetto o altro personale privilegiato. Le organizzazioni dovrebbero pertanto dare priorità ai sistemi utilizzati da account con ampio accesso a informazioni sensibili sui prodotti e sulle attività operative.

Siemens e CISA assegnano a CVE-2026-58113 un punteggio base CVSS v3.1 di 6,1, con gravità Media. Il vettore completo è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Il vettore descrive un attacco raggiungibile via rete, di bassa complessità e per il quale l’attaccante non deve disporre di privilegi. L’interazione dell’utente è obbligatoria. La valutazione dell’ambito modificato tiene conto del fatto che lo script iniettato attraversa un confine di sicurezza e opera attraverso la sessione del browser.

La valutazione indica impatti ridotti sulla riservatezza e sull’integrità. Non assegna alcun impatto diretto sulla disponibilità, ossia lo scenario documentato non prevede l’interruzione del funzionamento di Teamcenter.

Una valutazione Media non deve sminuire l’importanza del ruolo della vittima. Le azioni eseguite a livello di sessione possono avere conseguenze rilevanti quando l’account preso di mira consente di accedere a risorse ingegneristiche o produttive di valore.

Non risultano sfruttamenti confermati né scadenze KEV

Non sono state segnalate organizzazioni interessate, tentativi di sfruttamento confermati o campagne malevole note associate a CVE-2026-58113. Non sono stati pubblicati indicatori di compromissione specifici.

Le informazioni disponibili su NVD non indicano inoltre che la vulnerabilità faccia parte del catalogo Known Exploited Vulnerabilities di CISA. Di conseguenza, non è disponibile alcuna data di inserimento nel catalogo KEV né alcuna scadenza federale per la correzione, e non se ne deve dedurre l’esistenza.

L’assenza di una voce nel catalogo KEV indica che non sono disponibili prove pubbliche del fatto che gli attaccanti stiano sfruttando la vulnerabilità sul campo. Non elimina tuttavia l’esposizione derivante dalle installazioni di Teamcenter accessibili da Internet o dagli utenti che possono essere indotti a seguire link esterni.

Enzo Alvarez di Bishop Fox ha segnalato la vulnerabilità a Siemens. Il produttore sta monitorando la propria risposta tramite l’avviso Siemens ProductCERT SSA-157465.

L’applicazione delle patch è la difesa principale

Gli amministratori dovrebbero innanzitutto censire i server Teamcenter, identificare i relativi rami di release e confrontare le build installate con le soglie delle versioni corrette. Ogni istanza vulnerabile dovrebbe essere aggiornata almeno alla release corretta pertinente.

Le installazioni esposte a Internet richiedono un’attenzione immediata. I team dovrebbero inoltre dare priorità alle implementazioni utilizzate da account privilegiati o che consentono di accedere a dati sensibili di progettazione, produzione e gestione del ciclo di vita dei prodotti.

Fino al completamento degli aggiornamenti, le organizzazioni possono ridurre, ma non eliminare, il rischio attraverso diverse misure:

• Limitare l’esposizione diretta a Internet di Teamcenter e dei componenti correlati dei sistemi di controllo.
• Collocare i sistemi interessati dietro firewall e applicare controlli degli accessi adeguati al loro ruolo operativo.
• Separare gli ambienti di produzione o di controllo dalle reti aziendali generali.
• Utilizzare un’infrastruttura VPN protetta e completamente aggiornata quando l’accesso remoto è necessario.
• Limitare la navigazione con privilegi elevati e avvertire gli utenti autenticati di non aprire link di autenticazione Teamcenter inattesi.
• Monitorare le richieste al flusso /auth/ per individuare parametri insoliti, contenuti di script codificati o schemi sospetti di referral esterni.
• Esaminare le azioni anomale eseguite dagli account autenticati, soprattutto dopo richieste di reindirizzamento insolite.
• Applicare controlli di sicurezza del browser e del web in grado di limitare l’esecuzione di script, se compatibili con il funzionamento di Teamcenter.

Non è stata resa pubblica alcuna soluzione alternativa in grado di neutralizzare completamente la gestione vulnerabile degli input. Segmentazione della rete, monitoraggio e consapevolezza degli utenti sono misure compensative, non sostituti dell’aggiornamento Siemens.

I difensori devono verificare le modifiche alla luce dei rischi operativi

Gli ambienti produttivi e ingegneristici richiedono spesso finestre di manutenzione controllate, poiché le modifiche alle applicazioni possono influire sui flussi di lavoro connessi e sui sistemi dipendenti. Siemens raccomanda di eseguire un’analisi dell’impatto e una valutazione dei rischi prima di distribuire le modifiche di sicurezza.

Dove i vincoli operativi richiedono aggiornamenti graduali, le organizzazioni dovrebbero testare la release corretta di Teamcenter con i flussi di autenticazione, ingegneria e gestione del ciclo di vita dei prodotti prima di procedere a un’implementazione estesa. Questo processo non dovrebbe trasformarsi in un rinvio indefinito, soprattutto per i sistemi raggiungibili dall’esterno.

Dopo l’applicazione delle patch, i difensori dovrebbero verificare che ogni nodo delle implementazioni in cluster o distribuite sia stato aggiornato. Dovrebbero inoltre accertarsi che istanze precedenti, server di test e ambienti esterni dimenticati non stiano ancora eseguendo build vulnerabili.

I team di sicurezza che indagano su attività sospette dovrebbero conservare i log web, di autenticazione, proxy e sessione pertinenti. Poiché non sono stati pubblicati indicatori specifici della vulnerabilità, il rilevamento deve concentrarsi sulle richieste /auth/ anomale e sulle azioni inattese eseguite attraverso sessioni autenticate. Le attività sospette possono essere segnalate tramite le procedure organizzative stabilite e, quando opportuno, a CISA.