BEDROHUNG
Eine Schwachstelle in Internet-exponierten Instanzen von PTC Windchill und FlexPLM wird derzeit von Cl0p-nahen Akteuren ausgenutzt, um Remote-Code-Execution (RCE) zu erreichen. Die als CVE-2026-12569 geführte Lücke wird als kritisch eingestuft, Patches stehen seit dem 17. Juni bereit.
Laut einer gemeinsam veröffentlichten Sicherheitswarnung von Ransom-ISAC, eCrime.ch und Defused kombinieren die Angreifer eine Pre-Authentication-Information-Disclosure im FlexPLM-WSDL-Endpunkt mit einer serverseitigen Schwachstelle im Windchill-Loginservlet. Dadurch können sie ohne vorherige Authentifizierung Code ausführen und JSP-Web-Shells unter /Windchill/login/ ablegen. Beobachtet wurden unter anderem Enumeration des Dateisystems, Staging von Engineering- und Designdaten sowie anschließende Datenexfiltration.
Betroffen sind laut Ransom-ISAC insbesondere Organisationen aus Fertigung, Automobilindustrie, Luft- und Raumfahrt sowie Einzelhandel. ReliaQuest weist zudem darauf hin, dass der verantwortliche Akteur nicht abschließend bestätigt sei. Die beobachteten Vorgehensweisen ähneln jedoch früheren Cl0p-Kampagnen.
Ähnlich wie bei der Oracle EBS-Kampagne 2025 scheinen die Erpressungs-Mails von zuvor kompromittierten Konten zu stammen und an Hunderte von Nutzern innerhalb betroffener Organisationen gesendet worden zu sein, allerdings mit neuen Kontaktadressen der Cl0p-Gruppe. PTC-Kunden wird empfohlen, ihre Windchill- und FlexPLM-Systeme zu patchen und exponierte Instanzen nach Möglichkeit hinter VPNs oder vertrauenswürdigen Gateways zu platzieren.
Was jetzt zu tun ist:
- umgehend patchen
- Zugriff auf exponierte Instanzen beschränken
- gegebenenfalls Zugangsdaten rotieren
PRÄVENTION & DETEKTION
Schwachstellenmanagement identifiziert Sicherheitslücken frühzeitig, bevor sie von Angreifern ausgenutzt werden können.
Eine EDR Lösung erkennt Angriffe auf Endgeräten frühzeitig und minimiert so die Auswirkungen von Sicherheitsvorfälle.
Autor: Michael Niers
