Die betroffene Schwachstelle wird als CVE-2026-12569 geführt und hat einen CVSS-Wert von 9,3. PTC beschreibt sie als Fehler bei der Deserialisierung nicht vertrauenswürdiger Daten. Dadurch können Angreifer aus der Ferne beliebigen Code ausführen, ohne sich zuvor authentifizieren zu müssen.
PTC stellte am 17. Juni ein Update bereit. Schon am folgenden Tag kennzeichnete der Hersteller die Lücke als aktiv ausgenutzt und veröffentlichte dazu Indikatoren für eine Kompromittierung. Ende Juni nahm CISA den Eintrag in den Katalog der bekannten ausgenutzten Schwachstellen auf.
Neue Hinweise von ReliaQuest und Ransom-ISAC, das die Untersuchung gemeinsam mit eCrime.ch und Defused vorgelegt hat, ordnen die aktuelle Ausnutzung einem Cl0p-Akteur zu. ReliaQuest betont allerdings, dass der Urheber der Angriffe nicht abschließend bestätigt sei. Nach Einschätzung des Unternehmens weist das beobachtete Vorgehen jedoch Merkmale früherer Cl0p-Kampagnen auf, die auf Unternehmensanwendungen und Datenbestände mit hohem Wert zielten.
Laut einer ausführlichen Warnung von Ransom-ISAC kombinieren die Angreifer eine Informationspreisgabe vor der Authentifizierung am FlexPLM-WSDL-Endpunkt mit einem serverseitigen Fehler im Windchill-Anmelde-Servlet. Durch diese Kette erreichen sie eine Remotecodeausführung und platzieren anschließend JSP-Webshells auf den betroffenen Systemen.
Nach dem ersten Zugriff beobachteten die Analysten, dass die Angreifer Dateisysteme auflisten, Daten für den Abtransport vorbereiten und Informationen zur späteren Erpressung exfiltrieren. Ransom-ISAC zufolge läuft die Kampagne seit dem 20. Juli gegen Organisationen aus den Bereichen Luft- und Raumfahrt, Automobil, Fertigung sowie Einzelhandel und Bekleidung.
Im Rahmen der beobachteten Angriffe verschickte der Bedrohungsakteur außerdem Erpressungs-E-Mails an Hunderte Nutzer innerhalb der betroffenen Organisationen. Die Betreffzeile lautete laut Ransom-ISAC „Schwerwiegendes Datenleck im Windchill-PDMLink-Modul“.
Ransom-ISAC erklärte zudem, dass Cl0p ransomware bis zum 22. Juli noch keine Opfer dieser jüngsten Kampagne auf seiner Datenleck-Seite im Darknet veröffentlicht und die Angriffe auch nicht öffentlich für sich reklamiert habe.
Betroffenen Organisationen raten die Hinweise, die von PTC bereitgestellten Updates einzuspielen. Zudem sollen die bereits veröffentlichten und die neu geteilten Indikatoren für eine Kompromittierung für Threat Hunting genutzt und die von PTC empfohlenen Abhilfemaßnahmen umgesetzt werden.