Zero Day in Windchill und Flex PLM Polizei rückt wegen Software-Schwachstelle aus

Anbieter zum Thema

FTAPI Software GmbH

Am vergangenen Wochenende unternahm die Polizei Hausbesuche bei Kunden von PTC, um vor einer Zero-Day-Schwachstelle zu warnen. Dies ist ein noch nie dagewesener Warnprozess. Was steckt dahinter?

In der Nacht zum 22. März 2026 kam es zu einem ungewöhnlichen Einsatz für die Polizei. Auf Veranlassung des Bundeskriminalamts (BKA) alarmierten Einsatzkräfte Unternehmen in ganz Deutschland per Telefon, einigen wurde sogar ein Besuch abgestattet, wie Heise Online als erstes berichtete. Grund dafür ist die War­nung des Softwareherstellers PTC, der über eine kritische Zero-Day-Schwachstelle in seinen Lösungen Windchill und FlexPLM informierte.

EUVD-2026-9444 / CVE-2026-20131

Cisco warnt vor Angriffen auf Firewall Management Center

Um welche Sicherheitslücken handelt es sich?

Bei der Zero-Day-Schwachstelle, die Polizeibeamte teilweise um vier Uhr nachts bei Geschäftsführern und Administratoren an der Tür klingeln lies, handelt es sich um EUVD-2026-14606 / CVE-2026-4681 (CVSS-Score 9.3, EPSS-Score^* 0.38)

FlexPLM und Windchill sind beide Product‑Lifecycle‑Management‑Lösungen des Soft­ware­her­stellers PTC. Windchill ist eine PLM-Plattform für technische Produktdaten, CAD‑Daten (Com­pu­ter‑Aided Design), Stücklisten, Änderungs‑ und Freigabeprozesse sowie die Zusammenarbeit mit Zulieferern in Fertigungsbranchen. FlexPLM ist speziell auf die Mode‑ und Retail‑Branche ausgerichtet und unterstützt Kollektionserstellung, Material‑ und Farbverwaltung, Tech‑Packs, Kostenkalkulation, Sourcing und Merchandising‑Workflows. Beide Systeme sind weit verbreitet und werden von vielen großen Herstellern, Marken und Händlern eingesetzt, um Produktdaten, Prozesse und Lieferketten zentral zu steuern. Hersteller PTC hat seinen Hauptsitz in Boston in den USA.

Bei EUVD-2026-14606 / CVE-2026-4681 handelt es sich um einen Deserialisierungsfehler, der dazu führen kann, dass beim Einlesen manipulierter Daten unerwartete Objekte erzeugt wer­den und ein Angreifer dies zur Ausführung von beliebigem Code, zur Umgehung von Sicher­heits­prüfungen oder zum Absturz der Anwendung ausnutzen kann.

Untersuchung von Qualys

9 Schwachstellen bedrohen Millionen Linux-Systeme

Wieso rückte die Polizei aus?

Das BKA entsandt am Wochenende Polizisten in ganz Deutschland, um scheinbar betroffene Unternehmen vor der Zero-Day-Sicherheitslücke zu warnen. So etwas gab es noch nie. Wie Heise Online nach Informationen aus dem Forum berichtete würden einige der Admins, die von der Polizei kontaktiert wurden, die anfällige PTC-Software gar nicht nutzen.

Die Beamten hätten den Betroffenen eine Kopie des Schreibens ausgehändigt, das PTC bereits an seine Kunden versandt hatte und das die Anleitung zu einem Hotfix enthält, übergeben. Mehrere Landeskriminalämter hätten Heise gegenüber das Vorgehen bestätigt. Ziel der Aktion sei eine „möglichst schnelle Sensibilisierung und Einleitung von Schutzmaßnahmen“ gewesen. Neben dem Landeskriminalamt Thüringen hätten auch die LKAs in Rheinland-Pfalz und Schles­wig-Holstein Hausbesuche bei PTC-Kunden unternommen. Hamburg und Nieder­sach­sen hätten darauf verzichtet und die betroffenen Unternehmen telefonisch kontaktiert.

Omnissa Workspace One UEM

VMware-Sicherheitslücke von 2021 heute aktiv ausgenutzt

Laufen bereits Angriffe?

Heise spricht von möglicherweise über tausend betroffenen Kunden, was einen entsprechend großen Personalaufwand bei der Polizei bedeutet haben dürfte. Zumindest scheint es noch keine Angriffsversuche mithilfe von EUVD-2026-14606 / CVE-2026-4681 zu geben. Denn von der US-Sicherheitsbehörde CISA gibt es noch keine Meldung in ihrem KEV-Katalog dazu. Das BSI hingegen hatte eine standardmäßige Warnung vor der Zero-Day-Schwachstelle ver­öf­fent­licht und sogar einen CVSS-Score von 10.0 geteilt.

Auch der Hersteller selbst informiert, dass es derzeit keine bestätigten Ausnutzungsfälle gebe. Allerdings veröffentlicht PTC Indicators of Compromise und appelliert an Admins, die die IoCs auf dem Windchill-Server identifizieren, sofort das Sicherheitsteam zu benachrichtigen, damit dieses den Reaktionsplan des Unternehmens einleiten kann. Dazu informiert PTC über eine vorhandene „GW.class“-Datei, die darauf hindeute, dass „der Angreifer das System vor der Aus­führung von Remote-Code (RCE) mit Schadsoftware infiziert hat“.

Auch zu der Diskrepanz zwischen der Aussage, es gebe noch keine Angriffe über die Schwach­stel­le EUVD-2026-14606 / CVE-2026-4681 und dem Vorhandensein einer bösartigen Payload habe Heise ein Statement angefragt, jedoch keines erhalten.

Cybersicherheitsvorfälle

Aktuelle Cyberangriffe auf deutsche Unternehmen 2026

Was sagt das BSI dazu?

Während das BKA also alle Mittel auffuhr, zeigte sich das BSI mit seiner Meldung nicht besorgter als sonst. Ein Sprecher habe Heise mitgeteilt, dass zu den Bewertungskriterien für Sicherheits­lücken „insbesondere die Charakteristika der Schwachstelle selbst, allerdings auch die Ver­brei­tung des Produkts und weitere – ggf. entschärfende – Rahmenbedingungen“ gehören würden. Ein entscheidender Punkt sei die Information der Anwenderinnen und Anwender durch den Hersteller selbst. Das BSI habe KRITIS-Betreiber separat informiert.

Apache Tomcat und Tomcat Native

BSI warnt vor drei kritischen Apache-Schwachstellen

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50798278)