吳明宜6 月間，PTC 公布產品生命週期管理 (Product Lifecycle Management, PLM) 平台 Windchill 的第一起攻擊事件後，相關受害組織持續增加。 Cl0p 勒索軟體組織上週公布超過 40 家企業與組織，宣稱這些單位是近期 Windchill 及 FlexPLM 攻擊行動的受害者。
Cl0p 此次攻擊是透過濫用上述產品的 CVE-2026-12569 漏洞進行。這項輸入驗證不當漏洞可讓未經驗證的遠端攻擊者傳送經過變造的請求，進而執行任意程式碼。該漏洞的 CVSS 風險評分達 9.3，並已被美國網路安全暨基礎設施安全局 (CISA) 列入已知遭利用漏洞 (KEV) 目錄。
Cl0p 於 7 月被發現利用 PTC PLM 平台漏洞發動攻擊，並在受害系統植入 Web shell，以竊取 Windchill 使用者的重要企業資訊。該組織近期自行公布受害者名單，並列出從各企業竊取的資料類型。
受害者包括石油公司 Shell 、 Philips 、金融科技公司 Fiserv 、企業行動解決方案業者 Zebra Technologies 、工業設備製造商 Ingersoll Rand 、 POS 軟體公司 Toast 、醫療器材業者 Mindray，以及台灣的大立光 (Largan Precision) 等。遭竊資料包括資料庫、專案檔案、相片、工程文件、藍圖、設計圖、系統日誌 (log) 及其他企業文件。
GE 原先也被列入名單，但 Cl0p 後來將其移除。由於目前資料未提供移除原因，尚無法確認 GE 是否與攻擊者達成任何協議。
客製化 Web shell 增加偵測難度
資安業者 ReliaQuest 指出，Cl0p 針對 Windchill 系統架構設計了客製化 Web shell，內建多項專門配合 Windchill 環境的功能。例如，攻擊者可透過 Windchill 指令要求 Web shell 回傳目錄資訊與管理員憑證，其用於竊取資訊的儲存庫 (vault) 列舉功能，也是依照 Windchill 應用程式的特定資料庫結構設計。
這個 Web shell 也包含 Java 類別載入器 (class loader) 元件，讓攻擊者能重複利用 Web shell，在記憶體中載入並執行程式，無須將檔案寫入磁碟。惡意查詢也會混入 Windchill 的資料庫連線，使相關攻擊活動更難被察覺，並提高企業資訊遭竊的風險。
Cl0p 過去也曾利用 Oracle E-Business Suite 、 MOVEit 、 Cleo 及 GoAnywhere 等企業軟體發動攻擊，入侵並勒索多家企業。
（綜合外電報導）