Nach Angaben von ReliaQuest wird CVE-2026-12569 aktiv ausgenutzt. Das Sicherheitsunternehmen beschreibt die Lücke als kritische unsichere Deserialisierung mit einem CVSS-Wert von 9,3 in PTC Windchill und FlexPLM. Die Ausnutzung ermögliche nicht authentifizierte Remotecodeausführung sowie die Bereitstellung von JSP-Webshells für die ferngesteuerte Ausführung von Befehlen und den Abfluss sensibler Produktdaten.
Wer genau hinter den beobachteten Angriffen steckt, ist laut ReliaQuest nicht bestätigt. Das Unternehmen erklärt jedoch, dass die Vorgehensweise Merkmale früherer Cl0p-Kampagnen aufweise, die sich gegen Unternehmensanwendungen und hochwertige Datenspeicher richteten. Wie BleepingComputer erfahren haben will, erhalten Unternehmen inzwischen Erpresser-E-Mails von support@cryptohox.com. Dabei handelt es sich dem Bericht zufolge um eine der neuen Adressen, die die Clop-Gruppe verwendet. Der Wechsel von E-Mail-Adressen vor dem Start neuer Erpressungskampagnen gilt bei dieser Gruppe als übliches Muster.
PTC begann am 17. Juni mit der Veröffentlichung von Patches für CVE-2026-12569. Eine aktive Ausnutzung bestätigte das Unternehmen zwar nicht, veröffentlichte aber in einem privaten Hinweis Abhilfemaßnahmen und forderte Kunden auf, ihre Systeme auf Kompromittierungsindikatoren zu untersuchen. Nachdem PTC am 26. Juni vor „erhöhter Bedrohungsaktivität“ gewarnt hatte, nahm CISA die Schwachstelle in den Katalog der Known Exploited Vulnerabilities auf. US-Bundesbehörden mussten ihre PTC-Windchill- und FlexPLM-Installationen daraufhin binnen drei Tagen absichern.
Laut Heise reagierten auch deutsche Behörden mit hoher Dringlichkeit. Demnach schrieb und telefonierte das Bundesamt für Sicherheit in der Informationstechnik PTC-Kunden sogar mitten in der Nacht an, um sie zu schnellen Updates zu bewegen. Eine ähnlich eilbedürftige Reaktion hatte es im März bereits wegen der vergleichbaren kritischen Windchill- und FlexPLM-Schwachstelle CVE-2026-4681 gegeben, die möglicherweise bereits ausgenutzt wurde oder deren baldige Ausnutzung wahrscheinlich schien.
ReliaQuest riet PTC-Kunden am Donnerstag, Windchill- und FlexPLM-Systeme zu patchen und sie nach Möglichkeit hinter VPNs oder vertrauenswürdigen Zugangsgateways zu betreiben. Bei Verdacht auf eine Kompromittierung sollten betroffene Server isoliert, forensische Artefakte gesichert und offengelegte Zugangsdaten ausgetauscht werden, bevor Dienste wiederhergestellt werden.
PTC Windchill und PTC FlexPLM gehören zur Kategorie Product Lifecycle Management. Die Plattformen dienen dazu, Produkte von der ersten Idee bis zur finalen Fertigung nachzuverfolgen, zu entwerfen und zu verwalten. Laut PTC nutzen weltweit mehr als 30.000 Kunden die Produkte des Unternehmens, darunter mehr als 1.500 Marken- und Handelskunden von FlexPLM. Verbreitet sind die Systeme unter anderem in Luft- und Raumfahrt, Verteidigung, Automobilindustrie, Schwermaschinenbau, Einzelhandel und Medizintechnik.
Clop ist seit Jahren für Datendiebstahlangriffe auf Unternehmensplattformen bekannt. Frühere Kampagnen richteten sich unter anderem gegen Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo und MOVEit Transfer; letzteres traf weltweit mehr als 2.770 Organisationen. Zuletzt nutzte die Gruppe seit Anfang August 2025 eine Zero-Day-Schwachstelle in Oracle EBS aus, um sensible Dateien aus vielen Organisationen zu stehlen, darunter Harvard University, The Washington Post, GlobalLogic, die University of Pennsylvania, Logitech, Estée Lauder, Korean Air und die American-Airlines-Tochter Envoy Air. Nach erfolgreichen Einbrüchen veröffentlicht Clop gestohlene Daten auf seiner Leak-Seite im Darknet und stellt sie per Torrent zum Herunterladen bereit, falls Opfer nicht zahlen.