Auf den Punkt: Clop nutzt kritische Deserialisierungslücke (CVSS 9.3) in PLM-Systemen für Datendatendiebstahl und Erpressung, über 30.000 Kunden betroffen, Sicherheits-Patches seit Juni 2026 verfügbar.
Die Ransomware-Gruppe Clop exploitiert eine kritische Schwachstelle (CVE-2026-12569) in PTC Windchill und FlexPLM für unauthentifizierte Remotecodeausführung und Datendatendiebstahl. Behörden in den USA und Deutschland warnen betroffene Unternehmen vor erhöhtem Angriffsaufkommen.
Die Bedrohungsgruppe Clop führt aktive Angriffe gegen über das Internet erreichbare Instanzen von PTC Windchill und FlexPLM durch. Die Angreifer nutzen dabei die Schwachstelle CVE-2026-12569 aus, die auf fehlerhafter Eingabevalidierung und unsicherer Deserialisierung von Daten beruht. Laut ReliaQuest weist die Lücke einen CVSS-Wert von 9,3 auf und ermöglicht nicht authentifizierten Angreifern die Remote-Codeausführung (RCE) ohne vorherige Authentifizierung.
Die Angreifer platzieren nach erfolgreicher Kompromittierung JSP-Webshells auf den betroffenen Systemen, um dauerhaften Zugriff zu erlangen und Remotebefehle auszuführen. Im Anschluss exfiltrieren sie sensitive Produktdaten und versenden Erpressungsschreiben von Mailadressen wie support@cryptohox.com. Der Wechsel der Kontaktadressen vor neuen Erpressungskampagnen gehört zur etablierten Taktik der Gruppe.
Windchill und FlexPLM sind Product-Lifecycle-Management-Systeme (PLM), die weltweit von über 30.000 Kunden für die Verwaltung von Produktdaten, Konstruktionen und Fertigungsprozessen eingesetzt werden – besonders in Luft- und Raumfahrt, Verteidigung, Automobilbau, Schwerindustrie und Medizintechnik. Der Hersteller PTC stellte ab dem 17. Juni 2026 erste Patches bereit. Die US-Behörde CISA nahm die Schwachstelle in ihren Katalog bekannter aktiv ausgebeuteter Lücken auf. Das BSI kontaktierte betroffene Unternehmen in Deutschland direkt per Telefon und E-Mail zur Beschleunigung von Patcharbeiten.
Sicherheitsforscher empfehlen betroffenen Organisationen, verfügbare Sicherheitsupdates unmittelbar einzuspielen und die Systeme hinter VPN-Lösungen oder abgesicherten Zugriffsgateways zu positionieren. Bei Verdacht auf Kompromittierung sollten betroffene Server isoliert und digitale Spuren gesichert werden.
Quelle: www.it-daily.net · Erschienen 26. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.