Clop-Ransomware greift Windchill- und FlexPLM-Systeme an

Die Clop-Ransomware-Gruppe richtet ihre Angriffe Berichten zufolge auf internetexponierte PTC-Windchill- und FlexPLM-Systeme in einer neuen Erpressungskampagne mit Datendiebstahl.

Die Angreifer sollen CVE-2026-12569 ausnutzen, eine kritische Schwachstelle, die eine nicht authentifizierte Remote-Codeausführung auf anfälligen Product-Lifecycle-Management-Plattformen (PLM) ermöglicht.

Sicherheitsforscher beobachteten, dass die Bedrohungsakteure nach der Ausnutzung der Schwachstelle JSP-Webshells installierten. Diese Webshells können Angreifern die Fernkontrolle über kompromittierte Server ermöglichen und den Diebstahl sensibler Produktdaten erleichtern.

Kritische Windchill-Schwachstelle ermöglicht Remote-Codeausführung

CVE-2026-12569 betrifft PTC Windchill und FlexPLM – Unternehmensplattformen, die Unternehmen für die Entwicklung, Nachverfolgung und Verwaltung von Produkten vom ersten Entwurf bis zur Fertigung einsetzen.

Die Schwachstelle hat einen CVSS-Wert von 9,3. Forscher beschreiben sie als eine Schwachstelle durch unsichere Deserialisierung, die Angreifern die Ausführung beliebigen Codes ohne Authentifizierung ermöglicht.

Obwohl der Verantwortliche für die Angriffe bislang nicht eindeutig identifiziert wurde, ähneln die beobachteten Vorgehensweisen früheren Clop-Kampagnen gegen Unternehmensanwendungen und hochwertige Datenspeicher.

Organisationen erhalten außerdem zunehmend Erpressungs-E-Mails von support@cryptohox.com, einer Adresse, die Berichten zufolge mit den Aktivitäten von Clop in Verbindung steht. Die Gruppe wechselt ihre Kontaktadressen häufig, bevor sie eine neue Erpressungskampagne startet.

Behörden fordern Kunden zum Patchen anfälliger Systeme auf

PTC begann am 17. Juni mit der Veröffentlichung von Sicherheitsupdates für CVE-2026-12569. Das Unternehmen stellte außerdem vertrauliche Hinweise zur Behebung bereit und forderte Kunden auf, ihre Umgebungen auf Hinweise auf eine Kompromittierung zu überprüfen.

Am 26. Juni warnte PTC seine Kunden vor einer erhöhten Bedrohungslage. Anschließend nahm die US Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle in ihren Katalog der Known Exploited Vulnerabilities (KEV) auf.

CISA verpflichtete US-Bundesbehörden, betroffene Windchill- und FlexPLM-Instanzen innerhalb von drei Tagen abzusichern.

Berichten zufolge kontaktierten auch deutsche Behörden PTC-Kunden direkt und forderten sie auf, die Sicherheitsupdates so schnell wie möglich einzuspielen.

So können Unternehmen das Risiko reduzieren

Sicherheitsforscher empfehlen Unternehmen, Windchill- und FlexPLM-Systeme umgehend zu aktualisieren.

Wenn möglich, sollten diese Systeme hinter einem VPN oder einem vertrauenswürdigen Zugangsgateway betrieben werden, anstatt sie direkt dem Internet auszusetzen.

Besteht der Verdacht auf eine Kompromittierung, sollten Organisationen den betroffenen Server isolieren, forensische Beweise sichern und möglicherweise offengelegte Zugangsdaten austauschen, bevor die Systeme wieder in Betrieb genommen werden.

Windchill und FlexPLM werden weltweit von Teams in den Bereichen Entwicklung, Fertigung, Qualitätssicherung und Lieferkettenmanagement eingesetzt. Zu den Kunden zählen Unternehmen aus der Luft- und Raumfahrt, der Verteidigungsindustrie, der Automobilbranche, dem Maschinenbau, dem Einzelhandel und der Medizintechnik.

PTC gibt an, dass seine Produkte von mehr als 30.000 Kunden weltweit genutzt werden, darunter über 1.500 Marken- und Einzelhandelsunternehmen, die FlexPLM einsetzen.

Clop setzt Strategie der Datendiebstahl-Erpressung fort

Clop greift seit Jahren Unternehmensplattformen an, um sensible Informationen zu stehlen. Frühere Kampagnen nutzten Schwachstellen in Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U, Cleo und MOVEit Transfer aus.

Zuletzt nutzte die Gruppe außerdem eine Zero-Day-Schwachstelle in Oracle E-Business Suite, um Dateien von Organisationen aus verschiedenen Branchen zu stehlen.

Nach dem Datendiebstahl setzt Clop seine Opfer in der Regel unter Druck, indem die Gruppe damit droht, die gestohlenen Dateien auf ihrer Leak-Seite im Darknet zu veröffentlichen. Das US-Außenministerium setzt eine Belohnung von bis zu 10 Millionen US-Dollar für Informationen aus, die die Angriffe der Gruppe mit einer ausländischen Regierung in Verbindung bringen.