Auf den Punkt: Eine mit Clop assoziierte, massgeschneiderte Web-Shell nutzt eine kritische Schwachstelle in PTC Windchill/FlexPLM aus, um Zugangsdaten zu entschluesseln und sensible Engineering-Datentresore fuer Erpressungszwecke zu kartieren.
Nach Ausnutzung einer kritischen Schwachstelle in PTC Windchill und FlexPLM haben Angreifer eine massgeschneiderte JSP-Web-Shell platziert, die Zugangsdaten entschluesselt und sensible Engineering-Daten kartiert. Sicherheitsforscher von ReliaQuest bringen die Kampagne mit der Erpressergruppe Clop in Verbindung.
ReliaQuest hat eine JavaServer-Pages-(JSP)-Web-Shell dokumentiert, die im Anschluss an die Ausnutzung einer kritischen Sicherheitsluecke in PTC Windchill und FlexPLM eingesetzt wurde. Beide Produkte sind Enterprise-Software fuer Product Lifecycle Management (PLM), also Systeme zur Verwaltung von Konstruktionsdaten, technischen Zeichnungen und Produktinformationen entlang des gesamten Entwicklungsprozesses. Nach Einschaetzung der Forscher handelt es sich nicht um eine generische Web-Shell, sondern um eine speziell fuer die PLM-Softwareumgebung konzipierte Komponente.
ReliaQuest beschreibt das Tool als vollausgestattete Erpressungsplattform: Sie ist in der Lage, sensible Datentresore der Windchill-/FlexPLM-Umgebung zu kartieren und Zugangsdaten zu entschluesseln. Damit richtet sich der Angriff nicht nur auf einzelne Systeme, sondern gezielt auf die strukturierten Engineering- und Produktdaten, die in PLM-Plattformen typischerweise ueber Unternehmensgrenzen und Zulieferketten hinweg verteilt und referenziert sind.
Fuer CISOs in Unternehmen mit PLM-Einsatz ergibt sich daraus ein doppeltes Risiko: Zum einen der klassische Datenabfluss samt Erpressungspotenzial, zum anderen der Verlust der Vertraulichkeit von geistigem Eigentum und Konstruktionsdaten, die fuer Wettbewerbsfaehigkeit und Lieferkettenintegritaet zentral sind. Die Verbindung zu Clop, einer Gruppe mit Historie bei grossflaechigen Datenerpressungskampagnen ueber Software-Schwachstellen, deutet auf eine systematische, mutmasslich automatisiert skalierbare Ausnutzung betroffener Windchill- und FlexPLM-Installationen hin.
CISOs mit PTC-Windchill- oder FlexPLM-Betrieb sollten den Patch-Status der betroffenen Systeme pruefen, vorhandene Logs auf ungewoehnliche JSP-Dateiablagen und Zugriffe auf Vault-Verzeichnisse kontrollieren und Zugangsdaten, die von den betroffenen Servern verwaltet werden, als potenziell kompromittiert behandeln. Da der Originalbericht keine konkrete CVE-Nummer oder Versionsangaben nennt, empfiehlt sich der direkte Abgleich mit den Sicherheitshinweisen von PTC und den Detailanalysen von ReliaQuest.
Quelle: thehackernews.com · Erschienen 19. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.