Cl0p nimmt Windchill ins Visier: Über 40 Organisationen durch kritische Schwachstelle gefährdet

Ransomware-Kampagne nutzt CVE-2026-12569 aus

Cl0p hat die Namen von mehr als 40 Organisationen veröffentlicht, die nach eigenen Angaben durch die Ausnutzung von CVE-2026-12569 kompromittiert wurden. Die kritische Schwachstelle betrifft die PLM-Produkte Windchill und FlexPLM von PTC.

Zunächst hatte die Gruppe nur teilweise Bezeichnungen veröffentlicht. Seit dem 12. August nennt sie die vollständigen Namen der mutmaßlichen Opfer. Die Meldung wurde am 19. August 2026 bekannt.

Die Vorwürfe sind für die einzelnen Organisationen jedoch nicht bestätigt. Shell, Philips, Fiserv und GE erklärten, von den Behauptungen zu wissen und diese zu prüfen, ohne eine erhebliche Kompromittierung von Daten zu bestätigen. Der Name von GE wurde später von der Cl0p-Website entfernt. Ob die Entfernung mit einer Zahlung oder der Wiederaufnahme von Verhandlungen zusammenhängt, ist nicht bekannt.

Zu den genannten Organisationen gehören auch Zebra Technologies, Ingersoll Rand, Toast, Mindray und Largan Precision, ein Lieferant von Kameraobjektiven für Apple.

Unauthentifizierte RCE mit CVSS-Score 9.8

CVE-2026-12569 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, beliebigen Code auszuführen, indem er speziell präparierte Anfragen an das verwundbare System sendet.

Die Schwachstelle betrifft die Deserialisierung nicht vertrauenswürdiger Daten sowie Probleme bei der Eingabevalidierung. Die NVD ordnet sie daher folgenden Kategorien zu:

• CWE-20, Improper Input Validation;
• CWE-502, Deserialization of Untrusted Data.

Der CVSS-v3-Score beträgt 9.8. Der Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Der Angriff kann somit über das Netzwerk, mit geringer Komplexität, ohne Zugangsdaten und ohne Interaktion des Benutzers durchgeführt werden. Die potenziellen Auswirkungen betreffen die Vertraulichkeit, Integrität und Verfügbarkeit der Systeme.

Als verwundbar gelten folgende Versionen:

• PTC FlexPLM <= 11.0 M030;
• PTC Windchill PDMLink < 11.0 M030.

Der Sicherheitshinweis stellt außerdem klar, dass alle CPS-Versionen sowie Windchill- und FlexPLM-Releases vor 11.0 M030 betroffen sind. Organisationen müssen daher Releases, CPS-Versionen und die installierte Konfiguration genau prüfen und dürfen sich nicht allein auf die Hauptversionsnummer beschränken.

Von der Kompromittierung zur Web-Shell

Die bei Cl0p-Ransomware-Angriffen beobachtete Ausnutzung wurde auch von ReliaQuest analysiert. Demnach installieren die Affiliates Web-Shells auf kompromittierten Windchill-Systemen und verwenden diese als persistenten Zugangspunkt.

Die identifizierte Komponente kann unter anderem:

• in Vaults gespeicherte sensible Daten aufspüren;
• im Windchill-Keystore hinterlegte Zugangsdaten entschlüsseln;
• einen Java-Klassenlader einbinden;
• weiteren Code innerhalb des Anwendungsprozesses ausführen;
• laterale Bewegungen, Persistenz und die Verteilung der Ransomware erleichtern.

Dieses Vorgehen verringert die Abhängigkeit von externen Tools und nutzt direkt den Anwendungskontext des kompromittierten Systems. Der Zugriff auf den Windchill-Prozess kann Angreifern daher eine privilegierte Position verschaffen, um auf Archive, Zugangsdaten und Konstruktionsdaten zuzugreifen.

Cl0p hat für jedes Opfer die Art und das Volumen der Daten angegeben, die nach eigenen Angaben entwendet wurden. Die Liste umfasst Datenbanken, Projektdateien, Backups, Fotos, Bilder, technische Dokumentationen, Baupläne, Diagramme, Protokolle und Unternehmensdokumente.

Die angegebenen Datenmengen reichen von 1 GB bis zu mehreren Terabyte pro Organisation. Die Inhalte könnten geistiges Eigentum und sensible personenbezogene Informationen umfassen. Allerdings dürften nicht alle Daten denselben Wert besitzen; ein Teil könnte bereits öffentlich zugänglich sein oder nur einen begrenzten Nutzen haben. Dies könnte erklären, warum einige Organisationen das Lösegeld möglicherweise nicht gezahlt haben. Für die einzelnen Fälle lässt sich dies jedoch nicht überprüfen.

Eine bereits aktiv ausgenutzte Schwachstelle

CVE-2026-12569 wurde im Juni öffentlich bekannt, als die CISA sie in den Katalog der Known Exploited Vulnerabilities (KEV) aufnahm und PTC laufende Angriffe meldete.

Die Aufnahme in den Katalog erfolgte am 25.06.2026. Für US-Bundesbehörden war als Frist für die Behebung der 28.06.2026 angegeben.

Die NVD stuft die Schwachstelle außerdem als Bestandteil von Ransomware-Kampagnen ein. Die Cybersecurity-Branche beobachtete die mit Cl0p verbundene Ausnutzung Ende Juli. CVE-2026-12569 gilt als erste Windchill-Schwachstelle, die in freier Wildbahn ausgenutzt wurde.

Der Fall passt zu Cl0ps bereits bekannten Angriffen auf Enterprise-Plattformen. Die Gruppe hatte Kampagnen zum Datendiebstahl und zur doppelten Erpressung durchgeführt, bei denen Schwachstellen in Oracle E-Business Suite, MOVEit, Cleo und GoAnywhere ausgenutzt wurden.

Das Vorgehen folgt einem wiederkehrenden Muster: Eine zentrale Anwendung wird kompromittiert, große Datenmengen werden entwendet und die Namen der Opfer schrittweise veröffentlicht, um den Druck zu erhöhen. Deutsche Organisationen sollen zudem von der Polizei vor möglichen bevorstehenden Angriffen gewarnt worden sein.

Was Organisationen mit Windchill jetzt tun sollten

Als erste Maßnahme sollte das von PTC bereitgestellte Update oder die angegebene Mitigation angewendet werden. Windchill und FlexPLM sind mindestens auf die im Sicherheitshinweis genannten nicht verwundbaren Releases zu aktualisieren. Dabei müssen auch alle installierten CPS-Versionen geprüft werden.

Priorität sollten aus dem Internet erreichbare Umgebungen haben. Ist eine sofortige Aktualisierung nicht möglich, sollte die Organisation die Maßnahmen des Herstellers umsetzen, die externe Erreichbarkeit des Dienstes reduzieren und eine vorübergehende Isolierung des Produkts prüfen. Die CISA empfiehlt, die Nutzung einzustellen, wenn keine geeigneten Mitigations verfügbar sind.

Das Monitoring sollte sich insbesondere auf folgende Anzeichen konzentrieren:

• neue oder veränderte Web-Shells;
• ungewöhnliches Laden von Java-Klassen;
• auffällige Codeausführung innerhalb des Anwendungsprozesses;
• unregelmäßige Zugriffe auf Vaults und Keystores;
• verdächtige Authentifizierungen und laterale Bewegungen;
• ungewöhnliche Lese- oder Übertragungsvorgänge bei Datenbanken, Backups und technischen Dateien.

Potentiell offengelegte Zugangsdaten müssen geändert werden, einschließlich der im Keystore gespeicherten Credentials. Bei Anzeichen einer Kompromittierung sollten Protokolle, Systemabbilder und weitere für die Analyse relevante Beweismittel gesichert werden. Die Web-Shell sollte nicht gelöscht werden, bevor die Beweissicherung abgeschlossen ist.

Die CISA fordert außerdem dazu auf, die anwendbaren Vorgaben des BOD 26-04 — Prioritizing Security Updates Based on Risk sowie die Anforderungen an die Forensics Triage zu befolgen. Für Cloud-Dienste gelten die entsprechenden Vorgaben für diese Umgebungsart.

Es ist nicht bekannt, ob alle genannten Organisationen tatsächlich kompromittiert wurden oder welche Datenmenge wirklich entwendet wurde. Für Betreiber verwundbarer Versionen machen die Aufnahme in den KEV-Katalog und die beobachteten Ransomware-Kampagnen ein Update jedoch zu einer dringenden Maßnahme und nicht zu einer rein präventiven Aktivität.