PTC bietet den Patch um eine kritische Sicherheitslücke mit CVSS 10.0 zu schließen die unter CVE-2026-12569 geführt wird und Remote-Code-Ausführung (RCE) ermöglicht. Das BSI und der Hersteller warnen von akuter Gefährdung für internetexponierte Installationen. Unternehmen mit betroffenen Systemen müssen umgehend handeln.
Die kritische Schwachstelle betrifft PTC Windchill (inkl. des PDMLink-Moduls) und PTC FlexPLM — beides PLM-Systeme (Product Lifecycle Management) für die Verwaltung geschäftskritischer Produktdaten im gesamten Produktlebenszyklus. Während Windchill vorrangig in technischen Fertigungsbranchen wie Luft- und Raumfahrt, Automobil, Medizintechnik und Elektronik eingesetzt wird, richtet sich FlexPLM speziell auf Retail, Mode, Schuhe und Konsumgüter.
Klassische RCE-Schwachstelle – dringend patchen
Laut Hersteller-Publication ist die Schwachstelle durch Deserialisierung nicht vertrauenswürdiger Daten verursacht und ermöglicht einem entfernten, anonymen Angreifer die Ausführung beliebigen Programmcode auf dem Zielsystem. Dies stellt eine klassische RCE-Schwachstelle dar, die bei erfolgreicher Ausnutzung die vollständige Kontrolle über betroffene Installationen ermöglicht. PTC hat bereits Patches für betroffene Versionen bereits veröffentlicht. Für einige gehostete Instanzen übernimmt PTC die Remediation nach eigenen Angaben teilweise selbst. Betreiber sollten daher prüfen, ob ihre Installation entweder eigenes Patching erfordert oder durch den Hersteller-Service abgedeckt ist. Ungepatchte Systeme bleiben weiterhin akut gefährdet .
Indicators of Compromise
Das PTC-Advisory nennt explizite Indikatoren für einen erfolgreichen Angriff, die in Security-Teams sofortige Untersuchung erfordern:
- JSP-Webshells im Windchill-Login-Verzeichnis (verdächtige .jsp-Dateien)
- Verdächtige POST-Requests an entsprechende Login-Pfade in den Webserver-Logs
- Header X-windchill-req in HTTP-Requests — laut Hersteller hat dieser Header keinen legitimen Verwendungszweck und deutet auf kompromittierte Kommunikation hin
Diese Indikatoren sollten in SIEM-Systemen, WAF-Logs und Webserver-Traces aktiv überwacht werden .
Risiko bei extern erreichbaren Systemen
Das Risiko ist besonders hoch bei internetexponierten PLM-Systemen. Erfolgreiche Exploits können nicht nur zu kompletten Systemübernahmen führen, sondern auch zu:
- Datenabfluss geschäftskritischer Produktdaten, CAD-Fertigungspläne und Stücklisten
- Betriebsunterbrechungen durch lahmbandelte Entwicklungs- und Fertigungsprozesse
- Langfristigen Folgekosten durch Reparatur, Datenverlust und Prozessausfälle
Gerade bei PLM-Plattformen sind die gespeicherten Daten oft strategisch wertvoll und für die Wettbewerbsfähigkeit zentral — ein erfolgreicher Angriff hat daher über die reine Systemübernahme hinaus erhebliche geschäftliche Konsequenzen.
Mehr bei CERT-Bund.de