Nach Angaben von Clop gehören GE, Philips und Shell zu einer neuen Welle von 43 Opfern, die offenbar über Angriffe auf Internet-exponierte Instanzen von PTC Windchill und PTC FlexPLM ins Visier geraten sind. Die Gruppe behauptet, aus kompromittierten Systemen unter anderem Sicherungen, Projektpläne, Fotos von Einrichtungen, Zeichnungen, Diagramme und Baupläne entwendet zu haben. Für Shell beziffert Clop die gestohlene Datenmenge auf 89 Gigabyte.
PTC beschreibt Windchill und FlexPLM als weit verbreitete Unternehmensplattformen, die von namhaften Firmen aus Luft- und Raumfahrt, Verteidigung, Automobilindustrie, Schwermaschinenbau, Einzelhandel und Medizintechnik genutzt werden. Nach Unternehmensangaben verwenden weltweit mehr als 30.000 Kunden Produkte von PTC; allein FlexPLM wird demnach von mehr als 1.500 Marken- und Einzelhandelskunden eingesetzt.
Sicherheitspatches für CVE-2026-12569 begann PTC am 17. Juni bereitzustellen. In einer nicht öffentlichen Warnung forderte das Unternehmen Kunden auf, ihre Umgebungen auf Kompromittierungsindikatoren zu prüfen, obwohl es zu diesem Zeitpunkt noch keine Bestätigung für Angriffe unter realen Bedingungen gab. Später bestätigten das Cybersicherheitsunternehmen ReliaQuest und das Ransomware Information Sharing and Analysis Centre (Ransom-ISAC) die Angriffe von Clop auf Windchill und FlexPLM. Dabei setzten die Angreifer laut diesen Quellen JSP-Webshells ein, um sensible Daten aus kompromittierten PLM-Plattformen zu stehlen.
Auch die US-Behörde CISA bestätigte, dass die Schwachstelle aktiv in Angriffen ausgenutzt wird. Vorausgegangen war eine Warnung von PTC vor „verstärkter Bedrohungsaktivität“ am 26. Juni. CISA nahm CVE-2026-12569 daraufhin in ihren Katalog bekannter ausgenutzter Schwachstellen auf und verpflichtete Bundesbehörden, ihre PTC-Windchill- und FlexPLM-Instanzen innerhalb von drei Tagen abzusichern.
Auch in Deutschland löste die Lücke eine Sofortreaktion aus: Das Bundesamt für Sicherheit in der Informationstechnik warnte PTC-Kunden mitten in der Nacht und forderte sie auf, Systeme so schnell wie möglich zu patchen.
Clop ist seit Jahren für Datendiebstahl über Unternehmensplattformen bekannt. Frühere Kampagnen richteten sich unter anderem gegen Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo und MOVEit Transfer; allein die MOVEit-Kampagne traf weltweit mehr als 2.770 Organisationen. Ab Anfang August 2025 begann die Gruppe zudem, eine Zero-Day-Schwachstelle in Oracle EBS auszunutzen, um sensible Dateien aus zahlreichen Organisationen zu stehlen. Zu den damals genannten Opfern zählen The Washington Post, GlobalLogic, Harvard University, die University of Pennsylvania, Logitech, Estée Lauder, Korean Air und die American-Airlines-Tochter Envoy Air.
Das US-Außenministerium setzt inzwischen eine Belohnung von 10 Millionen US-Dollar für Hinweise aus, die die Angriffe der Cybercrime-Gruppe mit einer ausländischen Regierung in Verbindung bringen.