Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm produkcyjnych, inżynieryjnych i handlowych, które używają PTC Windchill lub FlexPLM do zarządzania dokumentacją produktów. Werdykt: jeśli Twoja instancja nie ma poprawek PTC z czerwca i lipca 2026 roku, traktuj ją jako potencjalnie przejętą: zaktualizuj ją dziś i zleć sprawdzenie śladów włamania, bo grupa Cl0p wykrada przez tę lukę dane konstrukcyjne.
25 czerwca 2026 roku amerykańska agencja CISA dopisała CVE-2026-12569 do katalogu KEV, czyli listy podatności, co do których ma dowody wykorzystania w prawdziwych atakach, i oznaczyła ją jako używaną w kampaniach ransomware. Luka w systemach PLM firmy PTC pozwala napastnikowi z internetu, bez logowania, uruchomić dowolny kod na serwerze Windchill lub FlexPLM.
PTC ogłosił problem 17 czerwca 2026 roku i w ciągu dwóch dni wydał poprawki dla wspieranych wersji. Według Ransom-ISAC grupa powiązana z Cl0p wykorzystywała lukę jeszcze przed ujawnieniem, od początku czerwca, a od 20 lipca rozsyła ofiarom e-maile z żądaniem okupu za wykradzione dane. CISA dała agencjom federalnym tylko trzy dni na naprawę.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-12569 |
Data dodania do CISA KEV | 2026-06-25 |
Termin naprawy wg CISA | 2026-06-28 |
Produkt | PTC Windchill PDMLink i PTC FlexPLM (systemy PLM do zarządzania cyklem życia produktu) |
Wersje zagrożone | Wg PTC: Windchill do 11.0 M030 włącznie, 11.1 M020, 11.2.1.0, 12.0.2.0, 12.1.2.0, 13.0.2.0, 13.1.0.0 do 13.1.3.0; FlexPLM do 11.0 M030 włącznie, 11.1 M020, 11.2.1.0, 12.0.0.0, 12.0.2.0, 12.1.2.0, 12.1.3.0, 13.0.2.0, 13.0.3.0. Wszystkie wersje CPS. Atak nie wymaga logowania |
Wersje bezpieczne | Wg PTC: poprawki z 18 i 19 czerwca 2026 dla 13.0.2, 12.1.2, 12.0.2, 11.2.1, 11.1 M020, 11.0 M030 i 13.1.1; pakiety z 14 lipca 2026: SUP dla 13.1.3 i 13.1.2 oraz poprawki CPSXB dla 13.1.1, 13.0.2, 12.1.2, 12.0.2, 11.2.1, 11.1 M020 i 11.0 M030. Dokładne numery w artykule PTC CS473270 (wymaga konta). Wydania starsze niż 11.0 M030 nie mają publicznie ogłoszonej poprawki |
Typ podatności | Wykonanie kodu na odległość przez deserializację niezaufanych danych; CWE-20 i CWE-502 |
Ocena CVSS | 9.3 KRYTYCZNA (CVSS 4.0, PTC); 9.8 KRYTYCZNA (CVSS 3.1, NVD). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie biuro konstrukcyjne, w którym wszystkie rysunki, specyfikacje i listy materiałów leżą w jednym sejfie. Przy drzwiach stoi recepcja przyjmująca przesyłki. Okazało się, że odpowiednio zapakowana paczka, zostawiona na recepcji przez kogokolwiek z ulicy, sama się rozpakowuje i wypuszcza do środka intruza z kluczem do sejfu. Nikt nie musi go wpuszczać ani się podpisywać.
Tak działa ta luka. Serwer Windchill lub FlexPLM przyjmuje dane z sieci i niewłaściwie je sprawdza, zanim je „rozpakuje”. Napastnik, który widzi serwer z internetu, może bez hasła uruchomić na nim własny program, zostawić ukryte „tylne drzwi” i spokojnie kopiować dokumentację produktów.
💡 PLM (Product Lifecycle Management) to system przechowujący całą wiedzę o produkcie: projekty CAD, listy materiałów, zmiany konstrukcyjne, dane dostawców. Deserializacja to odtwarzanie danych przesłanych przez sieć; jeśli serwer nie sprawdza, co odtwarza, można mu podsunąć polecenia. Webshell to ukryty plik na serwerze, przez który napastnik wydaje polecenia z przeglądarki. Podwójne wymuszenie to kradzież danych i groźba ich publikacji, niezależnie od szyfrowania.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Osoba z internetu bez konta | Widzi tylko ekran logowania | Może uruchomić kod na serwerze |
Dokumentacja konstrukcyjna | Dostępna dla uprawnionych inżynierów | Kopiowana po cichu przez napastnika |
Integracja z ERP i dostawcami | Wymiana danych produkcyjnych | Droga do dalszych systemów firmy |
Wykrycie ataku | Alarm przy szyfrowaniu plików | Brak szyfrowania, pierwszym sygnałem bywa e-mail z szantażem |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej podatności, oparty na opisach PTC i zespołów badawczych, bez szczegółów technicznych. Luka nie wymaga logowania, więc zagrożona jest każda instancja widoczna z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 | Automatyczne wyszukiwanie serwerów Windchill i FlexPLM dostępnych z internetu | Lista celów |
2. Wejście | T+minuty | Wysłanie spreparowanego żądania do niezałatanego serwera | Kod działa na serwerze bez logowania |
3. Utrwalenie | T+minuty | Podrzucenie webshella w katalogu aplikacji | Stały, ukryty dostęp |
4. Kradzież danych | T+godziny do dni | Przeglądanie dysków, pakowanie i wysyłka dokumentacji produktów | Utrata własności intelektualnej |
5. Wymuszenie | T+tygodnie | E-maile z żądaniem okupu do setek pracowników, wpis na stronie wycieków | Presja na zarząd, ryzyko publikacji danych |
Dla firmy produkcyjnej dokumentacja w PLM to często najcenniejszy zasób: lata pracy konstruktorów, know-how i tajemnice kontraktowe klientów. Ta kampania nie szyfruje systemów, więc firma może przez tygodnie nie wiedzieć, że dane już wyciekły. Dodatkowo klienci z branży motoryzacyjnej i lotniczej wymagają od dostawców ochrony swoich rysunków, więc wyciek oznacza też ryzyko kontraktowe.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie PLM na czas analizy powłamaniowej, wstrzymanie zmian konstrukcyjnych | Dni do tygodni | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Kradzież projektów, list materiałów, danych dostawców i klientów | Godziny od wejścia | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Utrata przewagi konkurencyjnej, kary umowne, żądanie okupu | Tygodnie do miesięcy | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Nazwa firmy na stronie wycieków, pytania klientów z branży OEM | Tygodnie | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Naruszenie umów o poufności; przy danych osobowych zgłoszenie do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnych kar |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Windchill i FlexPLM
bez poprawek z czerwca/lipca 2026, dostępnych z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest maksymalne, bo atak nie wymaga logowania, CISA ocenia go jako automatyzowalny, a kampania Cl0p trwa; wpływ jest krytyczny, bo stawką jest cała dokumentacja produktów. Dla instancji dostępnych tylko z sieci wewnętrznej prawdopodobieństwo jest niższe, ale nie zerowe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy Windchill lub FlexPLM jest dostępny z internetu, i odciąć ten dostęp albo ukryć go za VPN | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Sprawdzić wersję i zainstalować poprawki z CS473270 (czerwiec) oraz pakiety z 14 lipca 2026 | Dziś | Administrator PLM |
3 | 🔴 NATYCHMIAST | Przeszukać serwery i logi według wskaźników włamania opublikowanych przez PTC (ostatnia aktualizacja 26 sierpnia 2026) | Dziś | Zespół bezpieczeństwa |
4 | 🔴 NATYCHMIAST | Przy znalezieniu śladów: odizolować serwer, zabezpieczyć dowody, zmienić hasła i klucze używane przez PLM | Dziś | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić, czy pracownicy nie dostali e-maili z żądaniem okupu powołujących się na Windchill | Do 2 dni | Dział IT i kadry |
6 | 🟠 PILNIE | Ocenić nowe luki CVE-2026-77645 i CVE-2026-77646 ogłoszone przez PTC 20 sierpnia 2026 | Do 3 dni | Administrator PLM |
7 | 🟡 WAŻNIE | Wydania starsze niż 11.0 M030: zaplanować migrację na wspieraną wersję | Do 30 dni | CTO |
PTC wydał poprawki dla wymienionych wersji. Równolegle producent opisał w CS473270 tymczasowe obejście konfiguracyjne i zaznacza, że może ono wpływać na działanie aplikacji. Klientom, których instancje hostuje PTC, działania naprawcze prowadzi producent. Poniższe oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie dostępu z internetu, dostęp tylko przez VPN lub zaufaną bramę | Wysoka | Łatwa do średniej |
Obejście konfiguracyjne PTC z CS473270 | Średnia do wysokiej, możliwy wpływ na funkcje | Średnia |
Blokada adresów z listy wskaźników PTC na zaporze | Niska do średniej: napastnicy zmieniają adresy | Łatwa |
Monitorowanie nowych plików i nietypowych dużych transferów z serwera PLM | Średnia: wykrywa, nie zapobiega | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do PLM | Otwarty z internetu dla dostawców | Tylko przez VPN lub bramę z logowaniem |
Wersja Windchill/FlexPLM | Bez poprawek z czerwca i lipca | Poprawki z CS473270 i pakiety z 14 lipca |
Wiedza o włamaniu | Brak, bo nic nie zostało zaszyfrowane | Serwer sprawdzony według wskaźników PTC |
Hasła i klucze integracji | Niezmieniane od lat | Wymienione po analizie |
Reakcja na e-mail z szantażem | Brak procedury | Ustalona ścieżka: IT, zarząd, prawnik |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA; SSVC CISA: aktywne, automatyzowalne). Źródła różnią się co do tego, kiedy PTC sam potwierdził ataki |
Grupy przestępcze | Cl0p (wg Ransom-ISAC); ReliaQuest wskazywał wcześniej podobieństwo do działań Cl0p bez pełnego potwierdzenia |
Kampanie ransomware | TAK (CISA: Known). Kampania kradzieży danych i wymuszeń od 20 lipca 2026, bez szyfrowania |
Ocena CVSS | 9.3 (CVSS 4.0, PTC); 9.8 (CVSS 3.1, NVD) |
PoC dostępny publicznie? | Brak potwierdzonego publicznego PoC; zespoły badawcze opisały łańcuch ataku i wskaźniki włamania |
Liczba atakowanych firm | Ponad 40 ofiar na stronie wycieków Cl0p do 19 sierpnia 2026 (jedno źródło wtórne, niezweryfikowane); potwierdzone sektory: produkcja, motoryzacja, lotnictwo, handel i odzież |
Skala bazy klientów | Wg BleepingComputer ponad 30 000 klientów PTC, w tym ponad 1500 marek na FlexPLM |
Reakcja władz | Niemiecki BSI pilnie kontaktował się z klientami PTC (wg BleepingComputer i Help Net Security) |
Sygnały zagrożenia dla CVE-2026-12569
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (PTC) 9.3/10 ███████████████████░ KRYTYCZNA
Wymagane logowanie NIE ████████████████████ każdy z internetu
CISA KEV / ransomware TAK ████████████████████ Known
Wykorzystanie przed łatą TAK ████████████████████ zero-day wg Ransom-ISAC 2026-06 (początek) Prawdopodobne wykorzystanie jako zero-day (Ransom-ISAC)
2026-06-17 PTC publikuje kroki naprawcze (CS473270)
2026-06-18 Publikacja CVE-2026-12569; poprawki dla 13.0.2, 12.1.2, 12.0.2; pierwsze wskaźniki włamania
2026-06-19 Poprawki dla 11.2.1, 11.1 M020, 11.0 M030 i 13.1.1
2026-06-25 PTC ostrzega przed nasiloną aktywnością; CISA dodaje lukę do KEV
2026-06-28 Termin naprawy wg CISA
2026-07-14 Pakiety poprawek SUP i CPSXB dla wszystkich wspieranych gałęzi
2026-07-20 Początek e-maili z żądaniami Cl0p (Ransom-ISAC)
2026-07-22 Raport Ransom-ISAC wiąże kampanię z Cl0p
2026-08-19 Ponad 40 ofiar na stronie wycieków (źródło wtórne)
2026-08-20 PTC ogłasza kolejne luki: CVE-2026-77645 i CVE-2026-77646
2026-08-26 Nowe wskaźniki włamania od PTC
... ponad 2,5 miesiąca od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat PTC z historią poprawek i wskaźnikami włamania: PTC Trust Center, Windchill i FlexPLM . Artykuł z poprawkami (wymaga konta): PTC eSupport CS473270 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-12569 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać potwierdzenie wersji Windchill/FlexPLM i daty instalacji poprawek | CTO | DZISIAJ |
2 | Zatwierdzić odcięcie PLM od internetu do czasu weryfikacji, nawet kosztem wygody dostawców | CTO | DZISIAJ |
3 | Zlecić analizę powłamaniową serwera PLM według wskaźników PTC | CTO | DZISIAJ |
4 | Przygotować procedurę na wypadek e-maila z szantażem: kto decyduje, kto komunikuje | CFO | DO JUTRA |
5 | Sprawdzić umowy z klientami OEM pod kątem obowiązku zgłaszania incydentów | CFO | DO JUTRA |
6 | Zabezpieczyć budżet na zewnętrzny zespół reagowania na incydenty | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia i termin zgłoszenia szkody | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka dokładnie wersja Windchill lub FlexPLM działa u nas? | [wersja] | 🔴 |
2 | Czy serwer PLM był kiedykolwiek od czerwca 2026 dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowaliśmy poprawki z CS473270 i pakiety z 14 lipca? | [data] | 🔴 |
4 | Czy przeszukaliśmy serwer według wskaźników PTC i z jakim wynikiem? | TAK / NIE, [data] | 🔴 |
5 | Czy ktoś z pracowników dostał e-mail z żądaniem okupu wspominający Windchill? | TAK / NIE | 🟠 |
6 | Czy oceniliśmy luki CVE-2026-77645 i CVE-2026-77646? | TAK / NIE | 🟠 |
7 | Z jakimi systemami (ERP, portale dostawców) łączy się PLM i czy zmieniliśmy ich hasła? | [lista], TAK / NIE | 🟡 |
CVE-2026-12569 pozwala bez logowania przejąć serwer Windchill lub FlexPLM, a Cl0p od miesięcy wykorzystuje ją do cichej kradzieży dokumentacji produktów i szantażu. Sama aktualizacja nie wystarcza, bo część włamań nastąpiła przed wydaniem poprawek. Priorytetem jest odcięcie PLM od internetu, instalacja poprawek i analiza śladów włamania, a zarząd powinien mieć gotową decyzję na wypadek żądania okupu.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.