Die Dringlichkeit der Situation wird durch mehrere Faktoren unterstrichen. Laut PTC gibt es bereits “glaubwürdige Hinweise auf eine unmittelbar bevorstehende Ausnutzung der Lücke durch Drittgruppen”. Besonders bemerkenswert ist die Reaktion der deutschen Behörden: BKA-Beamte wurden mobil gemacht, um Systemadministratoren im Laufe des Wochenendes auch nachts zu informieren. Teilweise wurden sogar Unternehmen gewarnt, die die betroffenen Produkte gar nicht einsetzen. Dies deutet auf ein hohes Bedrohungsszenario hin, das die Sicherheitsverantwortlichen der Länder (LKA) ebenfalls aktiviert hat.
Die technische Auswirkung ist erheblich: Die Schwachstelle betrifft fast alle unterstützten Versionen von Windchill und FlexPLM, einschließlich aller Critical-Patch-Sets (CPS). Angreifer könnten nach erfolgreicher Ausnutzung vollständige Kontrolle über betroffene Systeme erlangen. Dies hat massive Konsequenzen, da PLM-Systeme zentrale Informationen zu Produktentwicklung, Konstruktion und Fertigungsprozessen enthalten.
Aktuell existieren noch keine offiziellen Patches. PTC arbeitet zwar aktiv an Sicherheitsaktualisierungen, diese sind aber nicht verfügbar. Als Zwischenlösung empfiehlt der Hersteller, Apache/IIS-Regeln zu implementieren, die den Zugriff auf den anfälligen Servlet-Pfad blockieren. Diese Maßnahme soll ohne Funktionalitätsverlust möglich sein. Kritisch ist die Empfehlung, diese Mitigation auf alle Systeme anzuwenden – nicht nur Internet-erreichbare Server, sondern auch interne Deployments sowie File- und Replica-Server.
Zum Erkennen möglicher Angriffe hat PTC spezifische Indikatoren veröffentlicht. Administratoren sollten nach verdächtigen Dateien wie “GW.class”, “payload.bin” oder “dpr_<zufällige Zeichen>.jsp” suchen. Auch ungewöhnliche HTTP-Request-Muster mit Parametern wie “run?p=” oder “.jsp?c=” kombiniert mit unbekannten User-Agent-Strings sind Warnsignale. Das Vorhandensein von “GW.class” deutet bereits auf vollständig vorbereitete Systeme für Remote-Code-Execution hin.
Wo Mitigationen nicht möglich sind, rät PTC zur Trennung der Systeme vom Internet oder zum vorübergehenden Abschalten der Services. PTC betont allerdings, bislang keine Hinweise auf tatsächliche Angriffe gegen seine Kunden gefunden zu haben. Diese Aussage verliert jedoch an Gewicht angesichts der Warnung vor “imminent threats” in Kundenemails und der außergewöhnlichen Reaktion der deutschen Behörden.