Ransomwaregroep Cl0p misbruikt kritiek lek in PTC-software
Affiliates van de beruchte Cl0p-ransomwaregroep maken op grote schaal misbruik van een ernstig beveiligingslek in de software van PTC. Aanvallers combineren een datalek in de FlexPLM WSDL-interface met een kritieke kwetsbaarheid in het inlogproces van PTC Windchill. Hierdoor kunnen zij zonder in te loggen schadelijke code uitvoeren (RCE) en zogeheten webshells op kwetsbare servers installeren.
Het lek, aangeduid als CVE-2026-12569 met een maximale risicoscore van 9.8, werd half juni onthuld en door het Amerikaanse cybersecurity-agentschap CISA al snel op de lijst van actief uitgebuit gevaar geplaatst. Het vermoeden bestaat dat Cl0p het lek al sinds begin juni als zero-day misbruikt. De aanvallers richten zich voornamelijk op de maakindustrie, de autosector, de lucht- en ruimtevaart en de detailhandel, waar ze gevoelige ontwerp- en engineeringdata ontvreemden.
Afpersing en dreiging met datalekkage
Volgens een gezamenlijke waarschuwing van Ransom-ISAC, eCrime.ch en DEFUSED is Cl0p op 20 juli gestart met een grootschalige afpersingscampagne. Werknemers van getroffen organisaties ontvangen massaal e-mails over een "ernstig datalek via de Windchill-module". Daarin wordt gedreigd de gestolen intellectuele eigendom openbaar te maken als er niet wordt betaald.
Softwareleverancier PTC heeft inmiddels beveiligingsupdates uitgebracht. Beveiligingsexperts roepen organisaties die PTC Windchill of FlexPLM gebruiken dringend op om patchupdates direct te installeren en netwerklogboeken vanaf juni terug te zoeken op verdachte activiteiten.
