Shell hat bestätigt, einen möglichen Sicherheitsvorfall zu untersuchen. Auslöser ist ein Eintrag der Gruppe Clop auf ihrer Darknet-Leakseite, auf der der britische Energiekonzern als betroffen genannt wird. Clop behauptet, 89 Gigabyte an Daten erbeutet zu haben.

Ein Sprecher von Shell sagte gegenüber BleepingComputer: „Wir sind uns eines möglichen Vorfalls bewusst. Wir arbeiten mit unseren Sicherheitsteams und relevanten Experten zusammen, um die Angelegenheit zu untersuchen.“ Weitere Informationen hat das Unternehmen bislang nicht veröffentlicht.

Nach Darstellung von Clop sollen die gestohlenen Dateien Konstruktionszeichnungen, Scans von Prüfberichten zu Einrichtungen, Fotos der Anlagen sowie Projektpläne enthalten. Shell wird von der Gruppe als eines von 43 neuen Opfern geführt, die mutmaßlich im Rahmen von Datendiebstahl-Angriffen auf öffentlich erreichbare Instanzen von PTC Windchill und FlexPLM angegriffen wurden.

Im Zentrum der Angriffe steht die kritische Schwachstelle CVE-2026-12569. Dabei handelt es sich um eine Lücke wegen unzureichender Eingabevalidierung. PTC begann am 17. Juni mit der Bereitstellung von Sicherheitsupdates. Obwohl das Unternehmen eine aktive Ausnutzung zunächst nicht bestätigte, veröffentlichte es auch eine nicht öffentliche Warnung, in der Kunden aufgefordert wurden, ihre Umgebungen auf Kompromittierungsindikatoren zu prüfen.

Nachdem PTC seine Kunden am 26. Juni vor einer „erhöhten Bedrohungsaktivität“ gewarnt hatte, bestätigte auch die US-Behörde CISA die aktive Ausnutzung der Schwachstelle in Angriffen. Sie nahm CVE-2026-12569 in ihren Katalog der bekannten ausgenutzten Schwachstellen auf und ordnete an, dass Bundesbehörden ihre PTC-Windchill- und FlexPLM-Instanzen innerhalb von drei Tagen absichern müssen.

Auch in Deutschland löste die Schwachstelle eine Sofortreaktion aus. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte PTC-Kunden mitten in der Nacht und forderte sie auf, ihre Systeme so schnell wie möglich zu patchen.

Bestätigt wurden die Angriffe auf Windchill und FlexPLM zudem vom Ransomware Information Sharing and Analysis Centre (Ransom-ISAC) sowie vom Sicherheitsunternehmen ReliaQuest. ReliaQuest erklärte, die Angreifer hätten JSP-Webshells eingesetzt, mit denen sich sensible Daten aus kompromittierten PLM-Plattformen abziehen lassen.

Clop beansprucht im Rahmen derselben Angriffswelle auch Datendiebstähle bei General Electric und Philips. Nach Angaben des BleepingComputer-Berichts waren Sprecher beider Unternehmen zunächst nicht für eine Stellungnahme erreichbar. Auch PTC hatte auf eine Anfrage zunächst nicht reagiert.

PTC FlexPLM und PTC Windchill sind Unternehmensplattformen aus dem Bereich Product Lifecycle Management. Sie werden genutzt, um Produkte bis zur finalen Fertigung nachzuverfolgen, zu entwerfen und zu verwalten. Laut PTC setzen weltweit mehr als 30.000 Kunden die Produkte des Herstellers ein, darunter mehr als 1.500 Marken- und Einzelhandelskunden bei FlexPLM.