Die kritische Schwachstelle CVE-2026-12569 im Produkt PTC Windchill wird aktiv im Rahmen einer Datendiebstahlkampagne ausgenutzt, die mutmaßlich mit der Gruppierung Cl0p in Verbindung steht. Angreifer kombinieren diese Schwachstelle mit einem separaten Information-Disclosure-Fehler in PTC FlexPLM, was die Ausführung beliebigen Codes ohne Authentifizierung auf aus dem Internet erreichbaren Systemen ermöglicht. Nach Angaben des koordinierten Berichts von Ransom-ISAC, eCrime.ch und DEFUSED zielen die Angriffe auf Organisationen aus den Sektoren industrielle Fertigung, Automobilbau, Luft- und Raumfahrt sowie Einzelhandel. Administratoren von PTC-Windchill- und FlexPLM-Systemen müssen umgehend prüfen, ob ihre Installationen aus dem Internet erreichbar sind, und verfügbare Sicherheitsupdates einspielen.
Exploitation-Kette: vom Information-Disclosure zur Remote-Code-Ausführung
Laut dem koordinierten Bericht von Ransom-ISAC basiert der Angriff auf der sequentiellen Ausnutzung zweier Schwachstellen. Der erste Schritt ist die Ausnutzung eines Information-Disclosure-Fehlers vor der Authentifizierung im WSDL-Endpunkt der FlexPLM-Komponente (CVSS v3.1-Bewertung: 7,5). Die in diesem Schritt gewonnenen Daten ermöglichen den Übergang zur zweiten Phase – der Ausnutzung einer serverseitigen Schwachstelle im Autorisierungs-Servlet von Windchill (CVE-2026-12569), die eine nicht authentifizierte Remote-Code-Ausführung ermöglicht.
Infolge einer erfolgreichen Ausnutzung platzieren die Angreifer JSP-Webshells mit hexadezimalen Dateinamen im Verzeichnis /Windchill/login/. Diese Webshells verschaffen einen dauerhaften Remote-Zugriff auf das kompromittierte System und werden für weitere Aktivitäten genutzt: Aufzählung des Dateisystems, Vorbereitung der Exfiltration von Konstruktions- und Projektdaten und letztlich Umsetzung eines Double-Extortion-Schemas.
Das Unternehmen ReliaQuest hat in einer separaten Veröffentlichung die Beobachtung der aktiven Ausnutzung von CVE-2026-12569 zur Bereitstellung von JSP-Webshells und zur Exfiltration vertraulicher Produktdaten bestätigt.
Wichtig ist ein wesentliches Auseinanderfallen der Quellen hervorzuheben: Das Ausgangsmaterial behauptet, dass CVE-2026-12569 in den Katalog der bekannten, aktiv ausgenutzten Schwachstellen von CISA (KEV) aufgenommen wurde, eine Überprüfung anhand der NVD-Daten bestätigt diesen Status jedoch nicht. Organisationen sollten sich auf die belegte Tatsache der aktiven Ausnutzung in freier Wildbahn stützen und nicht auf den formalen Status im KEV-Katalog.
Indikatoren einer Kompromittierung
Im koordinierten Bericht wurden vier IP-Adressen veröffentlicht, die mit der Infrastruktur der Angreifer in Verbindung stehen:
216.152.148.54216.152.151.204104.243.35.635.180.41.35
Nach Angaben von Ransom-ISAC stimmen diese Indikatoren mit jenen überein, die das Unternehmen PTC zuvor im Rahmen eigener Kundenbenachrichtigungen verbreitet hat.
Attribution und Bedrohungskontext
Die Attribution der Kampagne zur Gruppierung Cl0p (auch bekannt als Chubby Scorpius, FIN11, Graceful Spider und Lace Tempest) ist derzeit nicht bestätigt. ReliaQuest weist ausdrücklich darauf hin, dass «der für die Angriffe verantwortliche Akteur bislang nicht verifiziert ist», die beobachteten Taktiken, Techniken und Prozeduren jedoch eine charakteristische Ähnlichkeit mit früheren Cl0p-Kampagnen aufweisen, die auf Unternehmensanwendungen und Speicherorte wertvoller Daten abzielten.
Diese Ähnlichkeit ist nicht zufällig. Cl0p spezialisiert sich konsequent auf die Ausnutzung von Schwachstellen in weit verbreiteten Unternehmensprodukten. Frühere Kampagnen der Gruppierung richteten sich gegen Lösungen für die Dateiübertragung – Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo und MOVEit Transfer – sowie gegen Oracle E-Business Suite. Die aktuelle Kampagne fügt sich in dieses Muster ein: PTC Windchill ist eine der führenden PLM-Plattformen, die von großen Industrieunternehmen für das Product Lifecycle Management eingesetzt wird.
Besondere Beachtung verdient die Erpressungstaktik. Laut dem koordinierten Bericht werden Erpresserschreiben von zuvor kompromittierten E-Mail-Konten aus versendet und an Hunderte von Nutzern innerhalb der betroffenen Organisation verteilt. Dies erhöht den Druck auf die Unternehmensführung zusätzlich, da der Kompromittierungsfall einem breiten Kreis von Mitarbeitenden bekannt wird.
Bewertung der Auswirkungen
Die anvisierten Sektoren – industrielle Fertigung, Automobilbau, Luft- und Raumfahrt sowie Einzelhandel – bestimmen die Art des potenziellen Schadens. PLM-Systeme speichern geschäftskritische geistige Eigentumswerte: Konstruktionsunterlagen, Materialspezifikationen, Daten zu Fertigungsprozessen. Ein Abfluss solcher Daten kann zu Folgendem führen:
- Verlust von Wettbewerbsvorteilen, wenn Konstruktionsunterlagen bei Wettbewerbern oder auf dem offenen Markt landen
- Verstößen gegen regulatorische Vorgaben im Bereich Exportkontrolle (ITAR, EAR) für Unternehmen der Luft- und Raumfahrt sowie der Verteidigungsindustrie
- Direkten finanziellen Verlusten durch Erpressung und Kosten für die Incident Response
- Stillstand von Produktionsprozessen, wenn kompromittierte PLM-Systeme isoliert werden müssen
Empfehlungen zum Schutz
Organisationen, die PTC Windchill und FlexPLM einsetzen, wird empfohlen, in folgender Priorität vorzugehen:
- Den Zugriff aus dem Internet auf Windchill- und FlexPLM-Installationen umgehend einschränken. Wenn ein direkter Zugriff erforderlich ist, sollte dieser ausschließlich über ein VPN mit Multi-Faktor-Authentifizierung erfolgen.
- Auf Anzeichen einer Kompromittierung prüfen: den Ordner
/Windchill/login/auf JSP-Dateien mit hexadezimalen Namen scannen; Netzwerkprotokolle auf Verbindungen zu den oben genannten IP-Adressen untersuchen. - Sicherheitsupdates von PTC einspielen, um CVE-2026-12569 und den Information-Disclosure-Fehler im FlexPLM-WSDL zu beheben. Den Kontakt zu PTC aufnehmen, um aktuelle Empfehlungen zu erhalten, falls Updates noch nicht implementiert wurden.
- Die genannten IP-Adressen blockieren – auf Ebene der Perimeterschutzsysteme (Firewalls, IPS/IDS).
- Einen Audit der E-Mail-Konten durchführen und auf Anzeichen einer Kompromittierung prüfen, wobei die Taktik des Versands von Erpresserschreiben über übernommene Accounts zu berücksichtigen ist.
Diese Kampagne unterstreicht einen anhaltenden Trend zur Ausnutzung von Unternehmens-PLM-Systemen, die traditionell weniger Aufmerksamkeit durch Sicherheitsteams erhalten als Dateiübertragungslösungen oder Webanwendungen. Organisationen, die PTC Windchill betreiben, sollten die Beseitigung von CVE-2026-12569 als Aufgabe mit höchster Priorität betrachten und innerhalb der nächsten Stunden sicherstellen, dass ihre PLM-Infrastruktur ohne angemessene Authentifizierung nicht aus dem Internet erreichbar ist.
