Cl0p nhắm vào PTC Windchill/FlexPLM lộ RCE không cần xác thực
"Threat actors linked to the Cl0p ransomware campaign are exploiting internet-exposed PTC Windchill/FlexPLM deployments by chaining a pre-authentication information disclosure in the FlexPLM WSDL endpoint with a server-side flaw in the Windchill login servlet. The attack enables unauthenticated remote code execution, JSP web shell deployment, and subsequent data theft/extortion; the primary flaw is tracked as CVE-2026-12569 (CVSS 9.3), with a separate pre-auth disclosure issue in FlexPLM (CVSS 7.5) used in the chain."
Nguy cơ cao do chuỗi khai thác dẫn tới RCE không cần xác thực và khả năng triển khai web shell để chiếm quyền/thu thập dữ liệu; đồng thời có tác động tống tiền dữ liệu sau xâm nhập.
Tác động đáng kể đến vận hành và doanh thu do khả năng đánh cắp dữ liệu từ các ngành như sản xuất, ô tô, hàng không và bán lẻ, kéo theo rủi ro gián đoạn quy trình và chi phí xử lý sự cố/tống tiền.
Các tác nhân liên quan đến chiến dịch ransomware Cl0p đang khai thác các triển khai PTC Windchill và FlexPLM được mở ra Internet trong một chiến dịch tống tiền dữ liệu mới. Theo cảnh báo phối hợp từ Ransom-ISAC cùng eCrime.ch và DEFUSED, kẻ tấn công kết hợp rò rỉ thông tin trước xác thực tại endpoint FlexPLM WSDL với một lỗi phía máy chủ trong servlet đăng nhập của Windchill. Chuỗi tấn công này cho phép RCE không cần xác thực, triển khai JSP web shell (tên tệp dạng hex) dưới đường dẫn /Windchill/login/, sau đó thực hiện liệt kê hệ thống tệp, thu thập dữ liệu kỹ thuật/thiết kế và đánh cắp dữ liệu hai lần trước khi tống tiền.
Lỗ hổng chính được theo dõi là CVE-2026-12569 (CVSS 9.3) và được đưa vào danh mục CISA KEV. Vấn đề rò rỉ tiền xác thực trong FlexPLM được nêu riêng với CVSS 7.5 và đóng vai trò mắt xích trong chuỗi khai thác. PTC cho biết đã ghi nhận báo cáo về hoạt động tấn công gia tăng, nhắm tới việc cài web shell.
Khuyến nghị: ưu tiên vá CVE-2026-12569, rà soát các hệ thống Windchill/FlexPLM phơi nhiễm Internet, kiểm tra dấu hiệu JSP web shell và triển khai giám sát truy cập bất thường tại endpoint WSDL/login.