Ursache sind eine unzureichende Eingabevalidierung und die Deserialisierung nicht vertrauenswürdiger Daten. Angreifer können die Lücke mit präparierten Anfragen ausnutzen. Im CVE-Eintrag heißt es, in PTC Windchill und PTC FlexPLM sei eine kritische Schwachstelle zur Codeausführung aus der Ferne gemeldet worden, die sich über die Deserialisierung nicht vertrauenswürdiger Daten ausnutzen lasse.

Laut CVE-Eintrag sind folgende Versionen betroffen:

  • PTC Windchill: 11.0 M030, 11.1 M020, 11.2.1.0, 12.0.2.0, 12.1.2.0, 13.0.2.0, 13.1.0.0, 13.1.1.0, 13.1.2.0, 13.1.3.0, 13.1.4.0
  • PTC FlexPLM: 11.0 M030, 11.1 M020, 11.2.1.0, 12.0.2.0, 12.1.2.0, 13.0.2.0, 13.1.0.0, 13.1.1.0, 13.1.2.0, 13.1.3.0

In von PTC gehosteten Umgebungen hat der Hersteller die Patches nach eigenen Angaben bereits eingespielt, Kunden müssen dort nichts tun. Wer Windchill oder FlexPLM selbst betreibt, soll den Patch so schnell wie möglich installieren, fordert PTC.

Die neue Lücke wird knapp fünf Monate nach einer anderen kritischen Schwachstelle zur Codeausführung in Windchill und FlexPLM bekannt. Diese Lücke, CVE-2026-12569 (CVSS 9,3), wurde aktiv ausgenutzt. Im Juli 2026 wurde bekannt, dass Akteure mit Verbindung zur Ransomware-Gruppe Cl0p sie in einer Erpressungskampagne einsetzten: Sie platzierten JSP-Webshells und entwendeten sensible Produktdaten von Fertigungsunternehmen und Industriebetrieben.

Yordan Ganchev, leitender Spezialist für Bedrohungsanalyse bei watchTowr, bezeichnete PTC-Software als Paradebeispiel für ein Ziel von Initial Access Brokern und Ransomware-Betreibern und als wesentlichen Wegbereiter dreifacher Erpressung. Angreifer könnten damit weit in die Netze ihrer Opfer vordringen, geschützte Daten verschlüsseln und abziehen sowie industrielle Prozesse stören. Häufig wirke sich das auch auf zeitkritische Fertigungs-, Logistik- und Auslieferungsprozesse aus, sodass jede Stunde Stillstand erhebliche Kosten verursache.

Betreiber sollen erreichbare Systeme umgehend patchen und die Hosts auf Anzeichen von Codeausführung, Hintertüren oder Webshells überwachen. Ist ein sofortiges Update nicht möglich, sollten Netzwerkbeschränkungen das Risiko einer Kompromittierung begrenzen.