Im Zentrum der Kampagne steht CVE-2026-12569, eine Schwachstelle in PTC Windchill und FlexPLM. PTC und CISA hatten bereits im Juni auf Angriffe hingewiesen; CISA nahm die Lücke in den Katalog der bekannten ausgenutzten Schwachstellen auf. Technisch handelt es sich um eine unzureichende Eingabevalidierung, über die ein entfernter, nicht authentifizierter Angreifer per speziell präparierter Anfrage beliebigen Code ausführen kann.
Dass die Lücke missbraucht werden würde, galt als erwartet. Dem Bericht zufolge hatte die Polizei in Deutschland Organisationen vor unmittelbar bevorstehenden Angriffen gewarnt. Bemerkenswert ist dabei vor allem eines: Laut Quelle ist CVE-2026-12569 die erste Windchill-Schwachstelle überhaupt, die nachweislich aktiv ausgenutzt wurde.
Ende Juli beobachtete die Cybersicherheitsbranche die Ausnutzung der PLM-Lücke in Angriffen von Cl0p. Demnach setzten Cl0p-Partner die Sicherheitslücke ein, um Web-Shells zu platzieren, die ihnen Zugriff auf die Daten von Organisationen mit Windchill-Installationen verschafften. Das Sicherheitsunternehmen ReliaQuest berichtete am Dienstag zudem, Cl0p verwende ein maßgeschneidertes Implantat, das „vollständige Fähigkeiten zum Datendiebstahl“ bereitstelle, ohne dass zusätzliche Werkzeuge nötig seien.
ReliaQuest beschreibt die Funktion der Web-Shell so: Sie erfasse sensible Tresordaten, entschlüssele sämtliche Zugangsdaten im Windchill-Keystore und enthalte einen angepassten Java-Klassenlader, mit dem Cl0p zusätzlichen Code direkt im Anwendungsprozess ausführen könne. Dadurch werde die Shell zu einer praktisch unbegrenzten Hintertür für nachgelagerte Aktivitäten wie laterale Bewegung, Ransomware oder Persistenz erweitert.
Zunächst hatte Cl0p auf seiner Website nur unvollständige Firmennamen veröffentlicht. Seit dem 12. August nennt die Gruppe die mutmaßlichen Opfer mit vollem Namen. Bislang wurden mehr als 40 Organisationen aufgeführt. Für jedes Opfer listen die Angreifer nach eigenen Angaben Art und Umfang der entwendeten Informationen auf.
Zu den angeblich exfiltrierten Daten zählen Datenbanken, Projektdateien, Backups, Fotos und andere Bilddateien, Konstruktionsunterlagen, Blaupausen, Diagramme, Protokolle und weitere Unternehmensdokumente. Der Umfang der gestohlenen Daten reicht nach Darstellung der Hacker von 1 Gigabyte bis zu mehreren Terabyte pro Organisation.
Auf der Liste stehen unter anderem Shell, Philips, Fiserv, Zebra Technologies, Ingersoll Rand, Toast, Mindray und Largan Precision. GE war zunächst ebenfalls aufgeführt, wurde inzwischen aber von der Cl0p-Website entfernt. Laut Bericht könnte das darauf hindeuten, dass das Unternehmen zugestimmt hat, Lösegeld zu zahlen, oder die Verhandlungen mit den Angreifern wieder aufgenommen wurden.
Shell, Philips, Fiserv und GE erklärten, ihnen seien die Behauptungen bekannt und sie untersuchten den Vorgang. Keines dieser Unternehmen hat bislang einen erheblichen Datenschutzvorfall bestätigt. Cl0p war bereits in der Vergangenheit mit ähnlichen Datendiebstahl- und Erpressungskampagnen aufgefallen, die Schwachstellen in Oracle E-Business Suite, MOVEit, Cleo und GoAnywhere ausnutzten.