Cl0p ha allargato il proprio raggio d'azione dai tradizionali software di trasferimento file alle piattaforme di product lifecycle management. A partire dai primi di giugno 2026, affiliati del ransomware hanno sfruttato CVE-2026-12569, una vulnerabilità zero-day in PTC Windchill e FlexPLM, per ottenere esecuzione remota di codice non autenticata, installare webshell JSP ed esfiltrare dati sensibili di ingegneria. La campagna è emersa pubblicamente il 20 luglio 2026 con l'inizio delle email di estorsione. CISA ha già inserito la falla nel catalogo KEV con scadenza di remediation fissata al 28 giugno 2026.
- CVE-2026-12569 è una vulnerabilità di deserializzazione non sicura con CVSS 9.8 in versione 3.1 e 9.3 in versione 4.0, che colpisce Windchill e FlexPLM precedenti alla release 11.0 M030.
- La catena di attacco sfrutta una disclosure d'informazioni pre-autenticazione nel WSDL di FlexPLM abbinata a una falla nel servlet di login di Windchill per ottenere RCE senza credenziali.
- I post-exploitation mostrano webshell JSP con nomi esadecimali di 16 caratteri, un header HTTP malevolo riconoscibile e quattro nuovi IP di comando e controllo identificati il 22 luglio 2026.
- L'estorsione è iniziata il 20 luglio con email inviate da account compromessi a liste di distribuzione interne, ma al 22 luglio nessuna vittima risultava pubblicata sul sito di leak di Cl0p.
La vulnerabilità: deserializzazione non sicura con impatto critico
CVE-2026-12569 risiede nella deserializzazione non sicura di dati non attendibili nelle componenti web esposte di Windchill e FlexPLM. Il National Vulnerability Database registra il punteggio CVSS 9.8 nella versione 3.1, con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La versione 4.0 assegna un punteggio leggermente inferiore, 9.3. Entrambi i valori collocano la falla nella fascia critica.
La vulnerabilità interessa tutte le release precedenti alla versione 11.0 M030. PTC ha rilasciato la patch di sicurezza CS473270 il 17 giugno 2026, data che coincide con la disclosure pubblica della CVE. L'azienda conta oltre 30.000 organizzazioni clienti per Windchill a livello mondiale e più di 1.500 installazioni specifiche di FlexPLM, secondo i dati riportati da CyberInsider.
La catena di exploit: due falle per un accesso senza credenziali
L'attacco non si limita a una singola falla. Secondo l'analisi di Ransom-ISAC, gli aggressori concatenano una disclosure d'informazioni pre-autenticazione nel WSDL di FlexPLM con la vulnerabilità di deserializzazione nel servlet di login di Windchill. Il risultato è un'esecuzione remota di codice affidabile e completamente non autenticata.
L'indicatore di risposta del endpoint vulnerabile mostra una dimensione di circa 4.045 byte. Questo dato permette di fingerprintare le istanze esposte senza necessità di autenticazione. Il pattern di richiesta malevolo include il percorso GET /Windchill/rfa/jsp/login/*.jsp?wsdl. A questo si aggiunge un header HTTP distintivo: X-windchill-req con valore ?x8Fmgow, segnalato da multiple fonti come indicatore di compromissione.
"Cl0p ransomware affiliates are actively exploiting a critical zero-day in PTC Windchill and FlexPLM (CVE-2026-12569) to gain unauthenticated remote code execution, drop JSP webshells, and exfiltrate sensitive engineering data for double‑extortion."
Tradecraft post-exploitation: webshell e preparazione all'estorsione
Una volta ottenuto l'accesso, gli operatori installano webshell JSP con nomi composti da 16 caratteri esadecimali nel formato /Windchill/login/[0-9a-f]{16}.jsp. Questa convenzione di naming è coerente attraverso le fonti primarie e rappresenta un pattern di rilevamento definito.
Le attività successive includono l'enumerazione del filesystem tramite un file denominato flst.txt e la preparazione di dati di ingegneria e design per l'esfiltrazione. Il modello di estorsione segue lo schema double-extortion: minaccia di pubblicazione dei dati rubati oltre alla cifratura dei sistemi. Ransom-ISAC documenta inoltre un hash SHA-256 associato ai campioni analizzati: 55a1eb4c2d3da04376df39d7ba832569c6af1a37a0cf2b95f754ac898023a30c.
L'infrastruttura di comando e controllo si è espansa il 22 luglio 2026 con l'identificazione di quattro nuovi indirizzi IP: 216.152.148.54, 216.152.151.204, 104.243.35.63 e 5.180.41.35.
Timeline e conferme: da zero-day a catalogo CISA
La linea temporale documenta un intervallo compresso tra scoperta e azione pubblica. Ransom-ISAC valuta che gli affiliati Cl0p abbiano sfruttato la falla come zero-day già nei primi giorni di giugno 2026. La CVE è stata divulgata pubblicamente il 17 giugno. CISA ha inserito CVE-2026-12569 nel catalogo Known Exploited Vulnerabilities l'8 giorno successivo, il 25 giugno, con una deadline di remediation fissata al 28 giugno per le agenzie federali.
Il catalogo CISA marca ora la vulnerabilità come "Known" per l'uso in campagne ransomware, risolvendo un'incertezza temporanea segnalata da Techzine in un articolo pubblicato il 24 luglio. Quel pezzo notava che le fonti pubbliche non avevano ancora esplicitamente collegato lo sfruttamento a Cl0p e che CISA aveva lasciato provvisoriamente la colonna ransomware come "unknown". L'aggiornamento del KEV ha successivamente chiarito la classificazione.
ReliaQuest ha confermato indipendentemente lo sfruttamento attivo di CVE-2026-12569, con tradecraft compatibile con Cl0p, in un intervento su X datato 22 luglio 2026. Secondo la fonte citata, ReliaQuest ha osservato "threat actors actively exploiting CVE-2026-12569, a critical unsafe deserialization vulnerability (CVSS 9.3) affecting PTC Windchill and FlexPLM".
Cosa fare adesso
Le organizzazioni che eseguono PTC Windchill o FlexPLM devono verificare immediatamente se le proprie istanze sono esposte a Internet e applicare la patch CS473270 rilasciata il 17 giugno 2026. La versione corretta è la 11.0 M030 o successive.
Le squadre di threat hunting devono effettuare ricerche retroattive nel periodo che parte dai primi di giugno 2026, concentrandosi sulla presenza di webshell con pattern /Windchill/login/[0-9a-f]{16}.jsp e sull'header HTTP X-windchill-req: ?x8Fmgow nei log di accesso.
I team di sicurezza devono monitorare il traffico verso e proveniente dai quattro IP di comando e controllo identificati da Ransom-ISAC: 216.152.148.54, 216.152.151.204, 104.243.35.63 e 5.180.41.35.
È necessario controllare la presenza del file flst.txt come indicatore di enumerazione del filesystem e valutare eventuali email sospette con oggetto "Windchill PDMLink module serious data leak" inviate a liste di distribuzione interne a partire dal 20 luglio 2026.
Perché il PLM è diventato un obiettivo strategico
La campagna su Windchill segna una traslazione significativa nelle preferenze di Cl0p. Il gruppo ha costruito la propria notorietà su vulnerabilità in software di trasferimento file, come dimostrato dalle campagne precedenti. Il passaggio alle piattaforme PLM indica una consapevolezza del valore economico superiore contenuto nei sistemi di gestione del ciclo di vita del prodotto: disegni tecnici, specifiche di materiali, configurazioni di supply chain, roadmap di produzione.
I settori esplicitamente citati dalle fonti — manifatturiero, automotive, aerospaziale, retail e abbigliamento — condividono una caratteristica strutturale: catene di approvvigionamento complesse e dipendenza critica da dati di ingegneria. La compromissione di un sistema PLM non danneggia solo l'organizzazione bersaglio, ma irradia rischio attraverso l'intera rete di fornitori e partner commerciali. Questa qualifica il furto di IP industriale come un obiettivo di intelligence economica oltre che criminale.
La persistenza di istanze Windchill esposte a Internet, nonostante la natura critica dei dati gestiti, rimane il vettore abilitante. La catena di exploit documentata da Ransom-ISAC non richiede autenticazione, il che elimina ogni barriera basata su credenziali compromesse o phishing.
Domande frequenti
La patch rilasciata da PTC il 17 giugno è sufficiente a mitigare la vulnerabilità?
Sì, secondo le fonti primarie. L'aggiornamento CS473270 corregge la falla di deserializzazione in Windchill e FlexPLM. Le release precedenti alla 11.0 M030 rimangono vulnerabili.
Perché CISA ha impostato una scadenza di solo tre giorni per la remediation?
Il KEV entry del 25 giugno con due date ravvicinate — inserimento e deadline al 28 giugno — riflette la gravità valutata dall'agenzia e la conferma di sfruttamento attivo in corso. Non emergono motivazioni specifiche oltre a questa valutazione di rischio.
La fonte primaria attribuisce con certezza la campagna a Cl0p?
Ransom-ISAC valuta che gli attori siano "most likely" affiliati a Cl0p. ReliaQuest conferma tradecraft compatibile. CISA ha successivamente classificato il ransomware come "Known". Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a un altro gruppo allo stato attuale, ma Cl0p non ha rivendicato ufficialmente l'operazione.
Fonti
- https://cyberpress.org/cl0p-exploits-ptc-windchill-zero-day/
- https://www.techzine.eu/news/security/143159/clop-exploits-vulnerability-in-ptc-windchill-and-flexplm/
- https://gbhackers.com/cl0p-targets-internet-exposed-windchill/
- https://ransom-isac.org/blog/clop-windchill-flexplm-exploitation/
- https://cyberinsider.com/cl0p-ransomware-launches-new-large-scale-data-theft-campaign/
- https://nvd.nist.gov/vuln/detail/CVE-2026-12569
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-12569
- https://thehackernews.com/2026/06/cisa-adds-exploited-ptc-windchill-rce.html
- https://cyberpress.org/cl0p-ransomware-exfiltration/
- https://cyberpress.org/cl0p-ransomware-attack-2/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.