Clop nutzt Windchill aus: JSP-Webshell stiehlt Zugangsdaten und Konstruktionsdaten

Angriff auf PTC-PLM-Server

Eine mit hoher Wahrscheinlichkeit Clop, auch Cl0p genannt, zugeschriebene Kampagne nutzt CVE-2026-12569 gegen PTC-Windchill- und FlexPLM-Installationen aus. Die Aktivitäten wurden am 19. August 2026 entdeckt. Dabei wird eine speziell für diese Produkte entwickelte JSP-Webshell installiert.

Es handelt sich nicht um eine einfache Shell zur Ausführung von Serverbefehlen. Die Komponente kennt die interne Struktur von Windchill, nutzt die Anwendungs-APIs, fragt die Datenbank mit der dem System bereits zugewiesenen Identität ab und greift auf Informationen in den Vaults zu.

Zu den möglichen Zielen gehören der Diebstahl technischer Daten, das Auslesen von Zugangsdaten, laterale Bewegungen sowie die anschließende Verteilung von Malware oder Ransomware. Der Angriff kann sich daher schnell über den eigentlichen PLM-Server hinaus ausweiten.

Die Zuordnung zu Clop gilt als sehr wahrscheinlich und stützt sich auf ein entsprechendes Advisory zur Verteilung von JSP-Webshells auf verwundbaren Systemen. Das Vorgehen entspricht früheren Kampagnen gegen Plattformen, auf denen große Mengen geschäftskritischer Daten gespeichert sind.

CVE-2026-12569: Remote-Codeausführung ohne Authentifizierung

Der Erstzugriff erfolgt über CVE-2026-12569, eine kritische Schwachstelle, die die Ausführung beliebigen Codes durch eine speziell präparierte, über das Netzwerk übermittelte Anfrage ermöglicht.

Die technische Beschreibung nennt zwei miteinander verbundene Schwachstellen:

• CWE-20, unzureichende Eingabevalidierung;
• CWE-502, Deserialisierung nicht vertrauenswürdiger Daten.

Die NVD-Bewertung weist der Schwachstelle einen CVSS-Score von 9,8 mit folgendem Vektor zu:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Die Analysequelle nennt dagegen einen CVSS-Score von 9,3. Der Unterschied ergibt sich aus der jeweils verwendeten Bewertungsmethode. Beide Werte stufen das Problem jedoch als äußerst kritisch ein. Für den Angriff sind weder Berechtigungen noch Benutzerinteraktion oder besondere Voraussetzungen erforderlich.

Laut NVD sind betroffen:

• PTC FlexPLM <= 11.0 M030;
• PTC Windchill PDMlink < 11.0 M030.

Die Beschreibung weist außerdem darauf hin, dass das Problem Releases vor 11.0 M030 betrifft und sich auch auf CPS-Versionen erstrecken kann. Unternehmen sollten daher die genau installierte Release sowie deren Übereinstimmung mit den Abhilfemaßnahmen des Herstellers prüfen.

Die Schwachstelle steht bereits im CISA-KEV-Katalog

CVE-2026-12569 ist seit dem 25. Juni 2026 im Katalog der CISA Known Exploited Vulnerabilities enthalten. Für US-Bundesbehörden war die Frist zur Behebung auf den 28. Juni 2026 festgelegt.

Der Katalog weist außerdem darauf hin, dass die Schwachstelle in Ransomware-Kampagnen eingesetzt wurde. Es handelt sich daher nicht um ein rein theoretisches Risiko oder ein auf Laborszenarien beschränktes Problem: Der Exploit ist Bestandteil krimineller Operationen mit einer strukturierten Post-Exploitation-Phase.

CISA fordert, die Maßnahmen gemäß den Herstelleranweisungen umzusetzen – im Einklang mit BOD 26-04, das die Priorisierung von Sicherheitsupdates nach Risiko sowie Anforderungen an die Forensics Triage behandelt. Für Cloud-Dienste gelten die entsprechenden Vorgaben derselben Richtlinie. Falls keine geeigneten Maßnahmen verfügbar sind, empfiehlt CISA, die Nutzung des Produkts einzustellen.

In den vergangenen 90 Tagen wurde außerdem die Schwachstelle CVE-2026-8037 in den KEV-Katalog aufgenommen. Sie wird denselben genannten Anbietern sowie PTC, Progress und Accellion zugeordnet. Damit steht der Fall Windchill in einer größeren Reihe von Schwachstellen, die gegen Produkte zur Verwaltung sensibler Unternehmensdaten ausgenutzt wurden.

Eine Webshell mit detailliertem Windchill-Verständnis

Die beobachtete JSP-Komponente läuft direkt im Windchill-Prozess. Dadurch kann sie legitime Anwendungsfunktionen nutzen, anstatt sich ausschließlich auf Systembefehle oder externe Werkzeuge zu stützen.

Die Webshell kann:

• die in der Installation vorhandenen Vaults auflisten;
• Repositories mit besonders wertvollen Konstruktionsdaten identifizieren;
• Abfragen über die von Windchill verwendete Datenbankidentität ausführen;
• weiteren Java-Code direkt in den Prozessspeicher laden;
• den Diebstahl von Daten, Persistenz, laterale Bewegungen und Verschlüsselung unterstützen.

Der zusätzliche Code wird als Base64-kodiertes ZIP-Archiv übertragen. Ein benutzerdefinierter Classloader lädt ihn in den Speicher und führt den kompilierten Java-Bytecode aus. Der Angreifer kann dadurch neue Funktionen hinzufügen, ohne zwangsläufig auffällige Werkzeuge auf dem System zu installieren.

Die Nutzung der bereits vom Produkt verwendeten Datenbankverbindungen und APIs verringert den Unterschied zwischen schädlichem und regulärem Datenverkehr. Kontrollen, die ausschließlich auf Signaturen oder der Suche nach verdächtigen Befehlen beruhen, erkennen daher möglicherweise nicht die gesamte Angriffskette.

Der Befehl „S“ entschlüsselt Keystore und Zugangsdaten

Die kritischste Funktion ist dem einzelnen Befehl „S“ zugeordnet. Er kann administrative Zugangsdaten sowie Konten zur Verwaltung der Windchill-Verzeichnisse im Klartext ausgeben. Dabei wird die interne Funktion gs verwendet.

Der beobachtete Ablauf umfasst das Auslesen von ieStructProperties.txt, die Entschlüsselung des im Anwendungs-Keystore gespeicherten LDAP-Manager-Passworts sowie das Durchsuchen lokaler Eigenschaften. Die Shell kann außerdem folgende Daten entschlüsseln:

• Zugangsdaten administrativer Konten;
• Zugangsdaten für den Object Storage;
• Schlüssel von Site-Administratoren;
• weitere geschützte Werte aus der Windchill-Umgebung.

Ein separater Befehl ermöglicht die Exfiltration der Ergebnisse. Durch die Nutzung der Anwendungsidentität und bereits vorhandener Produktfunktionen müssen Angreifer in bestimmten Phasen keine eigenen kontrollierten Konten anlegen.

Das Auslesen der LDAP-Zugangsdaten vergrößert das Risiko erheblich. Dieselben Konten oder integrierten Verzeichnisdienste können den Zugriff auf Active Directory, E-Mail, VPN, Storage und weitere Unternehmensdienste steuern. Ein zunächst auf den PLM-Server begrenzter Vorfall kann sich dadurch zu einer Kompromittierung der gesamten Unternehmensumgebung entwickeln.

Warum Windchill-Vaults besonders wertvolle Ziele sind

Windchill und FlexPLM werden zur Verwaltung von Produktentwürfen, Zeichnungen, Stücklisten, technischer Dokumentation und weiteren proprietären Daten eingesetzt. Die Webshell kann solche Inhalte identifizieren, ohne dass eine langwierige manuelle Discovery-Phase erforderlich ist.

Zu den möglichen Auswirkungen gehören:

• Diebstahl von Zeichnungen und Konstruktionsdokumentation;
• Zugriff auf Anwendungs-Vaults;
• Diebstahl wiederverwendbarer Zugangsdaten;
• Zugriff auf mit dem Verzeichnisdienst verbundene Systeme;
• Verteilung von Malware;
• Aufrechterhaltung der Persistenz;
• Verschlüsselung der Daten nach der Exfiltration.

Der Ablauf ermöglicht den Übergang vom Erstzugriff über Aufklärung und Zugangsdiebstahl bis zur Datensammlung, wobei sich ein großer Teil der Aktivitäten innerhalb der Vertrauensgrenzen der Anwendung abspielt.

Clop hat dasselbe Vorgehen bereits gegen andere Produkte eingesetzt

Der Fall Windchill folgt früheren, Clop zugeschriebenen Angriffen auf Plattformen, die sensible Informationen bündeln.

Nach der Ausnutzung von CVE-2021-27101 in Accellion FTA soll die Gruppe die Webshell DEWMODE eingesetzt haben. Die Schwachstelle hat einen CVSS-Score von 9,8, betrifft Accellion FTA <= 9_12_370 und wurde am 3. November 2021 in den CISA-KEV-Katalog aufgenommen. Die Frist zur Behebung endete am 17. November 2021. Als korrigierte Version wird FTA_9_12_380 oder höher genannt.

Im Fall von CVE-2023-34362 soll Clop nach der Kompromittierung von Progress MOVEit Transfer dagegen LEMURLOOT eingesetzt haben. Die ebenfalls mit CVSS 9,8 bewertete Schwachstelle ermöglicht es nicht authentifizierten Angreifern, per SQL-Injection auf die Anwendungsdatenbank zuzugreifen.

CVE-2023-34362 steht seit dem 2. Juni 2023 im KEV-Katalog. Für US-Bundesbehörden galt der 23. Juni 2023 als Behebungsfrist. Zu den betroffenen Versionen gehören MOVEit-Transfer-Releases vor 2021.0.7 sowie die von NVD genannten Versionen: 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) und 2023.0.1 (15.0.1).

Sofortmaßnahmen für Betreiber von Windchill

Unternehmen sollten umgehend prüfen, welche Version von Windchill PDMlink oder FlexPLM exponiert ist, und die von PTC vorgesehenen Updates oder Abhilfemaßnahmen umsetzen. Falls keine geeignete Maßnahme verfügbar ist, sollte die vorübergehende Abschaltung des Produkts geprüft werden – insbesondere, wenn der Dienst aus dem Internet erreichbar ist.

Die Analyse sollte nach folgenden Hinweisen suchen:

• unerwartete oder kürzlich bereitgestellte JSP-Dateien;
• ungewöhnliche Anfragen an die PLM-Server;
• Zugriffe auf ieStructProperties.txt;
• ungewöhnliches Auslesen oder Entschlüsseln des Keystores;
• Verwendung des Befehls „S“ oder Aktivitäten im Zusammenhang mit der Funktion gs;
• Abfragen mit der Datenbankidentität der Anwendung;
• Base64-kodierte ZIP-Archive;
• das Laden von Java-Bytecode in den Speicher;
• Auflistungen von Vaults und ungewöhnliche Datentransfers.

Bei Anzeichen einer Kompromittierung müssen LDAP-, administrative und Object-Storage-Zugangsdaten als offengelegt betrachtet und geändert werden. Die Untersuchung sollte Verzeichnisdienste, Active Directory, E-Mail, VPN, Storage sowie jedes System einbeziehen, das mit denselben Konten erreichbar ist.