SecBoard
Zurück zur CVE-Übersicht

CVE-2026-17061

CRITICAL(10.0)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 10 — Kritisch

EPSS-Score

0.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

10

Technische Schwere

Beschreibung

A Deserialization of Untrusted Data vulnerability affecting SIMULIA Execution Engine from Release 2023 through Release 2026 could lead to an unauthenticated remote code execution.

Erkennung & Indikatoren

Ausnutzung

In den geprüften Quellen nicht genannt

Threat-Hunting-Queries

Die Schwachstelle ist eine Deserialization of Untrusted Data, die zu Remote Code Execution (RCE) führen kann. Die Detektion sollte sich auf ungewöhnliche Prozessstarts oder Netzwerkverbindungen konzentrieren, die von der SIMULIA Execution Engine ausgehen, insbesondere solche, die auf Shell-Befehle oder Skriptausführung hindeuten.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "java.exe" or InitiatingProcessFileName =~ "SIMULIAExecutionEngine.exe" // Annahme: Java-basierte Engine oder spezifischer Prozessname
| where FileName in ("cmd.exe", "powershell.exe", "sh", "bash", "python", "perl")
| where ProcessCommandLine has_any ("-c", "-exec", "-e") // Indikatoren für Befehlsausführung
| project TimeGenerated, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine, RemoteIP, RemotePort

Splunk SPL

index=* (sourcetype=WinEventLog:Microsoft-Windows-Sysmon/Operational OR sourcetype=linux_audit) 
(ParentProcessName="java.exe" OR ParentProcessName="SIMULIAExecutionEngine.exe") 
(ProcessName="cmd.exe" OR ProcessName="powershell.exe" OR ProcessName="sh" OR ProcessName="bash" OR ProcessName="python" OR ProcessName="perl") 
(CommandLine="*-c*" OR CommandLine="*-exec*" OR CommandLine="*-e*")

Sigma

title: SIMULIA Execution Engine RCE via Deserialization
id: 00000000-0000-0000-0000-000000000000 # Placeholder, generate a real UUID
status: experimental
description: Detects potential Remote Code Execution originating from SIMULIA Execution Engine due to deserialization vulnerability.
references:
  - https://www.3ds.com/trust-center/security/security-advisories/cve-2026-17061
logsource:
  category: process_creation
  product: windows # Or linux
detection:
  selection:
    ParentImage|endswith:
      - '\java.exe'
      - '\SIMULIAExecutionEngine.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\sh'
      - '\bash'
      - '\python.exe'
      - '\perl.exe'
  condition: selection

Elastic ES|QL

from process where 
  (process.parent.executable.name == "java.exe" or process.parent.executable.name == "SIMULIAExecutionEngine.exe") and 
  (process.executable.name in ("cmd.exe", "powershell.exe", "sh", "bash", "python", "perl")) and 
  (process.args : ("-c", "-exec", "-e"))

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

In diesen Analysen erwähnt

Wochenlage KW33: Linux Kernel, IBM WebSphere und kritische CVEs im FokusSecBoard

Referenzen