PTC Windchill CVE-2026-12569 Erpressung trifft Shell, Philips

Die PTC Windchill CVE-2026-12569 Erpressung durch die Ransomware-Gruppe Clop ist am 12./13. August vollständig öffentlich geworden: Clop nannte Shell, Philips, General Electric, Fiserv und rund 45 weitere Organisationen auf ihrer Leak-Site als Opfer einer Datendiebstahl-Operation über dieselbe PTC-Windchill/FlexPLM-Schwachstelle, über die DIESEC in diesem Jahr bereits zweimal berichtet hat.

Was ist passiert

Der PTC Windchill CVE-2026-12569 Erpressung liegt eine kritische, unauthentifizierte RCE-Schwachstelle (CVSS 9.3) in PTCs Windchill PDMLink und FlexPLM zugrunde, erstmals offengelegt und gepatcht im Juni 2026. Clop-verbundene Akteure verketteten ein Pre-Authentication-Information-Disclosure im FlexPLM-WSDL-Endpunkt mit dem Fehler im Windchill-Login-Servlet für unauthentifizierte Remote Code Execution und deployten anschließend persistente JSP-Webshells mit 16-stelligen hexadezimalen Dateinamen im Windchill-Login-Verzeichnis. Nach Einschätzung von Sicherheitsforschern begann die Ausnutzung bereits Anfang Juni als Zero-Day — vor dem PTC-Patch vom 17./18. Juni und vor der Aufnahme in den CISA-KEV-Katalog am 25. Juni.

Neu in diesem Monat ist die Erpressungsphase. Clop verhielt sich rund 56 Tage lang still in den kompromittierten Umgebungen und exfiltrierte Engineering-Daten, bevor am 20. Juli Massen-Erpressungs-E-Mails versendet wurden — an Hunderte Mitarbeiter pro Opferorganisation über kompromittierte interne Konten, Betreffzeile „Windchill PDMLink module serious data leak“. Am 12./13. August eskalierte Clop weiter durch die öffentliche Nennung der Opfer: rund 89 GB angeblich von Shell (Konstruktionszeichnungen, Fotos von Anlagen, Scans von Prüfberichten, Projektpläne) und etwa 13,5 GB von Philips (technische Schaltpläne und Diagramme). General Electric und Fiserv werden ebenfalls genannt; Fiserv berichtet, keine Hinweise auf offengelegte Kunden-, Bank- oder Transaktionsdaten gefunden zu haben. Keines der vier Unternehmen hat den Datendiebstahl bestätigt, und Clop hat keine Proben veröffentlicht — die Behauptungen bleiben unverifiziert, wobei Clops bestätigte MOVEit-Kampagne gegen Shell aus 2023 einen glaubwürdigen Präzedenzfall darstellt. Bestätigte Opfer-Branchen: Fertigung, Automobilindustrie, Luft- und Raumfahrt sowie Einzelhandel/Bekleidung.

Warum das wichtig ist

Windchill und FlexPLM haben eine große installierte Basis im deutschen Automobil-, Luft- und Raumfahrt- sowie Fertigungsmittelstand — genau die Zielgruppe, die am stärksten exponiert ist, falls sich dieses Muster wiederholt. Laut heise.de rief das BSI nach der ursprünglichen Offenlegung PTC-Kunden nachts an, um zur sofortigen Patch-Installation aufzufordern — dieselbe Dringlichkeit, die DIESEC bereits im März beschrieb, als die Polizei Systemadministratoren wegen der ersten Windchill-CVE nachts weckte. Die Massen-Nennung in diesem Monat beweist, was DIESEC im März und Juni warnte: Windchill ist kein Standardserver — es enthält genau die Engineering-IP, für die Wettbewerber am meisten zahlen würden, und eine während des ungepatchten Zeitfensters platzierte Webshell überlebt weit über die Patch-Installation hinaus.

Der Governance-Aspekt unterscheidet sich von einer klassischen Schwachstellen-Warnung. Organisationen, die im Juni umgehend gepatcht haben, könnten bereits während des Zeitfensters vor dem Patch Daten verloren haben — „wir haben gepatcht“ und „wir haben bestätigt, dass keine Daten abgeflossen sind“ sind keine gleichbedeutenden Aussagen. Der Erpressungsvektor über kompromittierte interne E-Mail-Konten ist zudem eine Erkennungslücke, die die ursprüngliche CVE-Warnung nie abdeckte.

Was Sie jetzt tun sollten

1. Prüfen Sie, ob PTC Windchill und FlexPLM vollständig auf den Juni-2026-Patches sind (13.1.1, 13.0.2, 12.1.2, 12.0.2, 11.2.1, 11.1 M020 oder 11.0 M030) — der Patch allein entfernt keine vor dem Update platzierten Webshells.
2. Suchen Sie unabhängig vom Patch-Status nach dem IOC-Muster: JSP-Dateien mit 16-stelligen hexadezimalen Kleinbuchstaben-Namen im Windchill-Login-Verzeichnis, und prüfen Sie ausgehende Verbindungsprotokolle seit Anfang Juni auf ungeklärte große Datenübertragungen.
3. Prüfen Sie, ob ein internes E-Mail-Konto Massen-Nachrichten mit Bezug auf „Windchill PDMLink module serious data leak“ oder ähnliche Erpressungssprache versendet hat — dies deutet auf eine Konto-Kompromittierung unabhängig vom Windchill-Server selbst hin.
4. Falls Ihre Organisation Windchill oder FlexPLM einsetzt und noch keine Post-Patch-Kompromittierungsprüfung durchgeführt hat: Das ist überfällig — die Erpressungsphase belegt, dass Angreifer Zeit hatten, Daten zu exfiltrieren, bevor die meisten Organisationen gepatcht haben.

DIESEC Einschätzung

Dies ist das Muster, das DIESEC in diesem Jahr bereits zweimal markiert hat — jetzt in einer Größenordnung, die Reuters-Schlagzeilen erzeugt. Die Lehre lautet nicht „Windchill patchen“ — die meisten betroffenen Organisationen haben das vermutlich längst getan. Die Lehre lautet, dass ein Patch die Tür erst schließt, nachdem der Diebstahl bereits stattgefunden hat, und nur eine gezielte Kompromittierungsprüfung zeigt, ob Ihre Organisation bereits auf Clops Liste steht und nur noch nicht genannt wurde.

Nicht sicher, ob Ihre PLM-Umgebung während des Juni-Offenlegungsfensters exponiert war? Kontaktieren Sie DIESEC für eine schnelle Windchill/FlexPLM-Kompromittierungsprüfung und IOC-Analyse.

Quellen: BleepingComputer | Reuters (via Ukrainska Pravda)
Veröffentlicht: 2026-08-17 | Kategorie: Tägliche News | ~5 Min. Lesezeit