Cl0p 关联组织利用未认证 RCE 漏洞攻击暴露在互联网上的 PTC Windchill 和 FlexPLM

与 Cl0p（又名 Chubby Scorpius、FIN11、Graceful Spider 和 Lace Tempest）勒索软件活动相关的威胁行为者，正在利用暴露在互联网上的 PTC Windmill 和 FlexPLM 部署中的漏洞，作为新一轮数据勒索活动的一部分。
根据 Ransom-ISAC 与 eCrime.ch 和 DEFUSED 联合发布的最新协调公告，"攻击者将 FlexPLM WSDL 端点中的一个预认证信息泄露漏洞与 Windchill login servlet 中的一个服务端漏洞串联利用，实现了未认证的远程代码执行，并在 /Windchill/login/ 目录下部署了以十六进制命名的 JSP web shell。"
研究人员发现，在获得初始立足点后，攻击者会进行文件系统枚举、整理工程/设计数据，并最终实施双重勒索数据窃取。该活动的目标涵盖制造业、汽车、航空航天和零售行业。
据推测，威胁行为者正在利用 CVE-2026-12569（CVSS 评分：9.3），这是 PTC Windmill 中的一个严重安全漏洞，已于上月底被添加到美国网络安全和基础设施安全局（CISA）的已知被利用漏洞（KEV）目录中。
在一份公告中，PTC 警告客户称，其"持续收到关于威胁活动加剧的报告"，并补充说明未知攻击者正在利用该漏洞在易受攻击的系统上部署 JSP web shell。
"在已观察到的入侵事件中，该 RCE 漏洞与 FlexPLM WSDL 端点中的一个独立的预认证信息泄露漏洞（CVSS v3.1 7.5）串联利用，实现了未认证的利用，"研究人员 Brandon Parsons、Corsin Camichel 和 Simo Kohonen 表示。
Ransom-ISAC 分享了四个 IP 地址作为入侵指标（IoC），所有这些地址均与 PTC 共享的地址一致：

• 216.152.148.54
• 216.152.151.204
• 104.243.35.63
• 5.180.41.35

勒索邮件似乎来自先前已被入侵的账户，并发送给受影响组织内的数百名用户，同时附带联系 Cl0p 勒索软件团伙的方式。

在 X 平台上的一篇独立帖子中，ReliaQuest 表示观察到威胁行为者正在积极利用 CVE-2026-12569，以实现"未认证的远程代码执行和 JSP web shell 部署，用于远程命令执行和敏感产品数据外泄。"
"这些攻击背后的行为者尚未得到确认。然而，观察到的技战术手法与以往 Cl0p 针对企业应用程序和高价值数据存储库的活动具有相似特征，"它补充道。
Cl0p 团伙在利用广泛使用的企业产品中的安全漏洞以入侵目标组织进行数据窃取和勒索攻击方面有着悠久的历史。该团伙此前发起的活动曾利用文件传输设备中的漏洞，包括 Accellion FTA、GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo 和 MOVEit Transfer 等产品，以及 Oracle E-Business Suite 中的一个漏洞。