Scroll to top
    Zurück zum Blog
    Bundesweiter Alarm · BKA & LKA
    IT-Sicherheit
    CVSS 0,0 · Critical

    Polizei weckt Admins um 3 Uhr nachts – kritische Windchill-Lücke löst bundesweiten Alarm aus

    CVE-2026-4681 – eine kritische Remote-Code-Execution-Lücke in PTC Windchill & FlexPLM. BKA und mehrere LKA kontaktieren Unternehmen teilweise nachts, um sie zum sofortigen Patchen zu bewegen.

    19.06.2026 9 min Lesezeit Police Wake-Up · 03:00:00 RCE · No-Auth · No-Interaction
    Polizei warnt Admins nachts vor kritischer Windchill-Sicherheitslücke CVE-2026-4681 – CVSS 9.3
    Teilen
    WhatsApp
    Telegram
    Facebook

    Polizei klingelt – mitten in der Nacht

    Was nach einem Krimi klingt, wurde für zahlreiche Unternehmen in Deutschland Realität: Mitten in der Nacht klingelte bei IT-Verantwortlichen die Polizei. Kein Einbruch, kein Verkehrsunfall – sondern eine kritische Sicherheitslücke in einer Unternehmenssoftware.

    Das Bundeskriminalamt und mehrere Landeskriminalämter kontaktierten betroffene Betreiber teilweise nachts, um Verantwortliche schnellstmöglich zu erreichen. Ein außergewöhnlicher Vorgang, der zeigt, wie ernst die Bedrohungslage 2026 geworden ist.

    CVE-2026-4681 – die Schwachstelle im Detail

    Die Lücke wird als Remote Code Execution (RCE) eingestuft und ermöglicht Angreifern die vollständige Übernahme eines betroffenen Systems – ohne jede Hürde.

    CVE-IDCVE-2026-4681
    TypRemote Code Execution (RCE)
    CVSS-Score9.3 / 10 – Critical
    AuthentifizierungNicht erforderlich
    BenutzerinteraktionNicht erforderlich
    AngriffsvektorNetzwerk · aus der Ferne

    Hersteller PTC bewertet die Lücke mit CVSS 9.3 – viele Sicherheitsexperten betrachten sie faktisch als Maximalrisiko, da öffentlich erreichbare Instanzen unmittelbar angegriffen werden können.

    Was ist Windchill überhaupt?

    Windchill gehört zu den weltweit am häufigsten eingesetzten PLM-Systemen (Product Lifecycle Management). Wer Zugriff auf Windchill erhält, bekommt häufig Zugriff auf das digitale Herzstück eines Industrieunternehmens:

    Konstruktionszeichnungen

    CAD-Daten

    Stücklisten (BOM)

    Produktionsinformationen

    Entwicklungsprojekte

    Lieferantendaten

    Technische Dokumentationen

    Versionsstände & Workflows

    So funktioniert der Angriff

    Nach bisherigen Erkenntnissen basiert die Schwachstelle auf einer fehlerhaften Verarbeitung von Datenobjekten. Speziell präparierte Anfragen werden vom Server verarbeitet – und führen fremden Code aus.

    attacker@kali · windchill-exploit.sh
    $ nmap -p443 target.example.com → Windchill 13.1.2 detected
    $ curl -k https://target/Windchill/srv/malicious.payload
    [+] Deserialization triggered…
    [+] Java RMI handler returned 200 OK
    [!] Reverse shell as SYSTEM – uid=0 (root)
    # whoami → NT AUTHORITY\SYSTEM
    [!] Game over · CAD, BOM, Workflows exfiltriert
    Administratorrechte erlangen
    Konstruktionsunterlagen stehlen
    Produktionsdaten manipulieren
    Ransomware installieren
    Lateral Movement zu ERP / MES
    Persistente Hintertüren einrichten

    Betroffene Windchill-Versionen

    Unternehmen sollten umgehend prüfen, ob eine dieser Versionen im Einsatz ist:

    Windchill 11.0 M030
    Windchill 11.1 M020
    Windchill 11.2.1.0
    Windchill 12.0.2.0
    Windchill 12.1.2.0
    Windchill 13.0.2.0
    Windchill 13.1.0.0
    Windchill 13.1.1.0
    Windchill 13.1.2.0
    Windchill 13.1.3.0

    Betroffene FlexPLM-Versionen

    Auch FlexPLM ist über mehrere Versionsreihen verwundbar:

    FlexPLM 11.0 M030
    FlexPLM 11.1 M020
    FlexPLM 11.2.1.0
    FlexPLM 12.0.0.0
    FlexPLM 12.0.2.0
    FlexPLM 12.0.3.0
    FlexPLM 12.1.2.0
    FlexPLM 12.1.3.0
    FlexPLM 13.0.2.0
    FlexPLM 13.0.3.0

    Warum wurde sogar die Polizei aktiv?

    Normalerweise werden kritische Lücken über CERT-Meldungen, Herstellerwarnungen oder IT-Dienstleister kommuniziert. In diesem Fall war die Situation außergewöhnlich:

    1. 1Behörden befürchteten massenhafte Ausnutzung binnen Stunden
    2. 2BKA & LKA identifizieren öffentlich erreichbare Windchill-Instanzen
    3. 3Verantwortliche werden direkt – teils nachts – kontaktiert
    4. 4Ziel: Patch vor dem nächsten Werktag, bevor Exploits kursieren

    Welche Folgen drohen bei Kompromittierung?

    Verlust von Entwicklungsdaten
    Verlust geistigen Eigentums
    Produktionsausfälle
    Manipulation technischer Unterlagen
    Vertragsstrafen mit OEMs
    Datenschutzvorfälle (DSGVO)
    Erpressung durch Ransomware
    Imageschäden & Vertrauensverlust

    Sofortmaßnahmen – Checkliste

    • Eingesetzte Windchill-/FlexPLM-Version sofort prüfen
    • PTC-Sicherheitsupdates unverzüglich einspielen
    • Öffentlich erreichbare Instanzen vom Netz / hinter VPN
    • Logs auf verdächtige Anfragen & Java-Deserialization prüfen
    • Netzwerksegmentierung Engineering ↔ Office hart trennen
    • Backups & immutable Snapshots verifizieren
    • Indicators of Compromise (IoC) nach PTC-Advisory scannen
    • 24/7-Monitoring (EDR/XDR/MDR) auf Engineering-Servern

    Fazit

    CVE-2026-4681 gehört zu den gefährlichsten Sicherheitslücken des Jahres 2026. Dass deutsche Sicherheitsbehörden Unternehmen teilweise nachts kontaktieren mussten, verdeutlicht die außergewöhnliche Brisanz.

    Moderne Cyberangriffe treffen längst nicht mehr nur Großkonzerne. Wer verwundbare Systeme betreibt, kann innerhalb weniger Stunden zum Ziel professioneller Angreifer werden – egal ob Mittelständler oder DAX-Konzern.

    Unser Kommentar

    Wenn die Polizei nachts vor der Tür steht und nicht nach dem Führerschein fragt, sondern nach dem Patch-Stand – dann wissen Sie, dass die Sicherheitslücke wirklich kritisch ist.

    Häufige Fragen zu CVE-2026-4681

    Engineering-Server 24/7 absichern

    Wasacon übernimmt Patch-Management, EDR/XDR-Monitoring und 24/7-MDR für PLM-, ERP- und Industriesysteme – damit kein Anruf um 3 Uhr nachts kommen muss.

    Sicherheitsanalyse starten IT-Sicherheit & Datenschutz

    Mehr zu CVEs, RCE-Lücken & Supply-Chain-Risiken

    Weitere aktuelle Analysen zu kritischen Sicherheitslücken, RCE-Exploits und Patch-Pflicht:

    Diskussion

    0 Beiträge

    Lade Kommentare …
    Neuer Kommentar
    0/2000

    E-Mail wird nur zur Verifizierung verwendet, nicht veröffentlicht. Beiträge werden manuell geprüft.

    IT-Budget Quick-Check

    Wie viel sollte Ihr Unternehmen jährlich in IT investieren?

    Risiko-Level: Mittel · Multiplikator: 1.2×

    Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.

    Das könnte Sie auch interessieren

    pm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
    IT-Sicherheit

    pm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet

    Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.

    11.08.202615 min
    Clausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
    IT-Sicherheit

    Clausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet

    Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.

    11.08.202616 min
    The Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
    IT-Sicherheit

    The Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht

    Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.

    11.08.202617 min

    Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.

    Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?

    Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.

    Jetzt kostenlosen Check anfordern

    Bekannt aus

    Wasa Consult, Data Recovery Service, Heinsberg, Nordrhein-Westfalen