Nach Angaben von Ransom-ISAC, eCrime.ch und DEFUSED verknüpfen die Angreifer zwei Schwachstellen: eine Informationspreisgabe vor der Authentifizierung im FlexPLM-WSDL-Endpunkt und einen serverseitigen Fehler im Windchill-Login-Servlet. Die Kette ermögliche nicht authentifizierte Remotecodeausführung und die Installation von JSP-Web-Shells im Pfad „/Windchill/login/“.

PTC warnte Kunden in einer Mitteilung, man habe „weiterhin Berichte über verstärkte Bedrohungsaktivität erhalten“. Unbekannte Angreifer nutzten die Schwachstelle demnach aus, um auf anfälligen Systemen JSP-Web-Shells zu platzieren. Die beobachteten Einbrüche kombinierten diese Remotecodeausführung mit einem separaten Fehler zur Informationspreisgabe vor der Anmeldung im FlexPLM-WSDL-Endpunkt mit einem CVSS-v3.1-Wert von 7,5, erklärten die Forscher Brandon Parsons, Corsin Camichel und Simo Kohonen.

Im Verdacht steht insbesondere CVE-2026-12569 in PTC Windchill. Die Schwachstelle hat einen CVSS-Wert von 9,3 und wurde kürzlich in den KEV-Katalog der U.S. Cybersecurity and Infrastructure Security Agency aufgenommen. Der Quelltext bezeichnet sie als kritische Schwachstelle in PTC Windchill.

Sobald sich die Angreifer einen ersten Zugang verschafft haben, beobachten die Verteidiger laut der koordinierten Warnung eine Erkundung des Dateisystems. Anschließend würden Engineering- und Designdaten bereitgestellt und am Ende Daten im Rahmen einer doppelten Erpressung entwendet. Als betroffene Branchen nennen die Organisationen Fertigung, Automobil, Luft- und Raumfahrt sowie Einzelhandel.

Ransom-ISAC veröffentlichte vier IP-Adressen als Kompromittierungsindikatoren. Diese stimmen dem Bericht zufolge vollständig mit den von PTC geteilten Adressen überein.

Die Erpressungs-E-Mails stammen offenbar aus bereits kompromittierten Konten und werden an Hunderte Nutzer innerhalb der betroffenen Organisationen verschickt. Die Nachrichten enthalten zudem Kontaktwege zur Cl0p-Ransomware-Gruppe.

Auch ReliaQuest meldete in einem separaten Beitrag auf X aktive Ausnutzung von CVE-2026-12569. Die Schwachstelle werde genutzt, um „nicht authentifizierte Remotecodeausführung und die Bereitstellung von JSP-Web-Shells für entfernte Befehlsausführung und die Ausschleusung sensibler Produktdaten“ zu ermöglichen. Wer genau hinter den Angriffen steckt, sei zwar nicht bestätigt. ReliaQuest betonte jedoch, die beobachtete Vorgehensweise teile Merkmale mit früheren Cl0p-Kampagnen gegen Unternehmensanwendungen und hochwertige Datenspeicher.

Die Cl0p-Gruppe ist dafür bekannt, Schwachstellen in weit verbreiteten Unternehmensprodukten für Einbrüche, Datendiebstahl und Erpressung zu nutzen. Frühere Kampagnen der Gruppe missbrauchten laut Quelltext unter anderem Dateiübertragungsprodukte von Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo und MOVEit Transfer sowie eine Schwachstelle in Oracle E-Business Suite.