Een affiliate van de Cl0p-ransomwaregroep maakt misbruik van een kritieke kwetsbaarheid in de product lifecycle management (PLM) platforms Windchill en FlexPLM van PTC. Het gaat om een remote code execution (RCE) kwetsbaarheid met de aanduiding CVE-2026-12569, die een CVSS-score van 9.3 heeft. Deze kwetsbaarheid betreft een probleem met het deserialiseren van niet-vertrouwde data en kan zonder authenticatie worden geëxploiteerd.

De kwetsbaarheid werd op 17 juni gepatcht door PTC, waarna de volgende dag al aanwijzingen voor misbruik in het wild werden gemeld. Eind juni werd de kwetsbaarheid toegevoegd aan het KEV-catalogus van CISA. Recente waarschuwingen van ReliaQuest en Ransom-ISAC, in samenwerking met eCrime.ch en Defused, bevestigen dat een Cl0p-affiliate de kwetsbaarheid actief gebruikt. Hoewel de identiteit van de aanvaller onbekend blijft, vertoont de gebruikte tactiek overeenkomsten met eerdere Cl0p-campagnes gericht op enterprise-applicaties en waardevolle dataopslag.

Volgens een uitgebreide advisory van Ransom-ISAC combineren de aanvallers een pre-authenticatie informatielek in de FlexPLM WSDL-endpoint met een server-side fout in de Windchill login servlet om zo remote code execution te realiseren en JSP-webshells te plaatsen. Na initiële toegang worden bestanden geïnventariseerd, data klaargezet en exfiltratie uitgevoerd met het oog op afpersing.

Vanaf 20 juli richten de aanvallen zich op organisaties in de luchtvaart, automotive, productie en retail/apparel sectoren. De dreigingsactor verstuurt daarbij afpersingsmails met als onderwerp "Windchill PDMLink module serious data leak" naar honderden gebruikers binnen de getroffen organisaties. Tot 22 juli heeft Cl0p nog geen slachtoffers van deze campagne op hun dataleksite gepubliceerd of de campagne opgeëist.

Organisaties worden dringend geadviseerd om de patches van PTC toe te passen en gebruik te maken van de eerder gepubliceerde en recent gedeelde indicatoren van compromittering voor threat hunting. Daarnaast dienen zij de aanbevolen herstelstappen van PTC te volgen om de impact te beperken.