Una campagna di data theft extortion sta colpendo piattaforme PTC Windchill e FlexPLM esposte a Internet. L'attore non è confermato con certezza; il tradecraft osservato condivide caratteristiche con precedenti campagne Cl0p. ReliaQuest ha rilevato exploit attivi della vulnerabilità CVE-2026-12569, patchata dal vendor il 17 giugno 2026. Ransom-ISAC ha confermato gli attacchi il 22 luglio 2026. Le informazioni si basano su advisory Ransom-ISAC e osservazioni ReliaQuest via BleepingComputer.
- CVE-2026-12569 ha CVSS 9.8 (v3.1) e 9.3 (v4.0): RCE non autenticato via unsafe deserialization nel servlet di login Windchill, con patch PTC disponibili dal 17 giugno 2026
- La catena di attacco combina information disclosure pre-autenticazione nell'endpoint WSDL FlexPLM con il flaw nel login servlet per deploy di webshell JSP a nome esadecimale
- I settori coinvolti includono manifatturiero, automotive, aerospaziale e retail/apparel: piattaforme che gestiscono dati prodotto sensibili e informazioni supply chain
- CISA ha inserito CVE-2026-12569 nel catalogo KEV il 25 giugno con BOD 26-04 e scadenza di 3 giorni per le agenzie federali; il BSI tedesco ha emesso allerta ai clienti
La catena tecnica: da WSDL disclosure a webshell JSP
L'exploit chain documentata da Ransom-ISAC in coordinamento con eCrime.ch e DEFUSED si articola in due fasi concatenate. La prima sfrutta una information disclosure pre-autenticazione nell'endpoint WSDL di FlexPLM, probabilmente per reconnaissance e fingerprinting della versione target. La seconda colpisce il servlet di login di Windchill con una unsafe deserialization di dati non attendibili, ottenendo RCE non autenticato sotto CVE-2026-12569.
Sui sistemi compromessi gli attori dispiegano webshell JSP con nomi esadecimali di 16 caratteri, posizionate sotto il percorso /Windchill/login/ con pattern [0-9a-f]{16}.jsp. L'advisory tecnico segnala un header HTTP malevolo specifico: X-windchill-req: ?x8Fmgow. La post-exploitation include filesystem enumeration via file flst.txt, staging di dati engineering e design, e preparazione alla fase di estorsione.
ReliaQuest ha osservato l'exploit attivo in ambienti di produzione con esfiltrazione di "sensitive product data", confermando che la vulnerabilità è già impiegata in operazioni reali. La versione corretta è la 11.0 M030; le release precedenti risultano vulnerabili.
"ReliaQuest has observed threat actors actively exploiting CVE-2026-12569, a critical unsafe deserialization vulnerability (CVSS 9.3) affecting PTC Windchill and FlexPLM. Exploitation enables unauthenticated remote code execution and JSP web shell deployment for remote command execution and sensitive product data exfiltration"
Double extortion: email di massa e leak site
A partire dal 20 luglio 2026, la campagna ha attivato la fase di estorsione con email di massa inviate a centinaia di utenti interni per organizzazione. L'oggetto è standardizzato: "Windchill PDMLink module serious data leak". Le email provengono da account compromessi casualmente e contengono i recapiti aggiornati di Clop, secondo quanto riportato da Brandon Parsons di Ransom-ISAC/Ascent Solutions via BleepingComputer.
Al 22 luglio 2026, Clop non aveva ancora elencato vittime sul proprio leak site. Il Department of State offre una ricompensa di circa 10 milioni di dollari per informazioni che colleghino Clop a un governo straniero.
"The actor behind these attacks remains unconfirmed. however, the observed tradecraft shares characteristics with previous Cl0p campaigns targeting enterprise applications and high-value data repositories"
L'esposizione numerica: poche istanze, alto valore
I dati Censys raccolti da The Hacker News mostrano un'esposizione Internet circoscritta ma strategica: meno di 100 istanze Windchill al 1 giugno 2026, poco più di 80 al 20 luglio, con circa l'80% concentrate negli Stati Uniti. Il calo dal primo al secondo rilevamento suggerisce che alcune organizzazioni hanno reagito all'advisory PTC del 17 giugno, riducendo la superficie di attacco.
La distribuzione geografica e settoriale rende tuttavia ogni singola istanza un target ad alto rendimento. Le piattaforme PLM contengono per definizione il patrimonio informativo più sensibile di un'organizzazione manifatturiera. Censys nota che "data stolen from these instances may include files like product designs and specs, bills of materials, supplier and vendor data, and other intellectual property".
PTC conta circa 30.000 clienti globali per Windchill/FlexPLM, con oltre 1.500 brand e retailer per la componente FlexPLM dedicata al settore moda e retail. La base installata è vasta, ma la porzione esposta a Internet resta contenuta: circa 80 istanze al 20 luglio 2026.
Cosa fare adesso
Applicare le patch PTC 11.0 M030: il vendor ha rilasciato gli aggiornamenti correttivi il 17 giugno 2026; le istanze non aggiornate rimangono vulnerabili a RCE non autenticato.
Ridurre l'esposizione Internet-facing: le installazioni Windchill/FlexPLM non strettamente necessarie devono essere rimosse dalla superficie pubblica, dato il CVSS critico e l'attività osservata di exploit attivo.
Controllare la presenza di webshell JSP nel percorso /Windchill/login/: cercare file con pattern [0-9a-f]{16}.jsp e verificare log per header HTTP anomali inclusi quelli con prefisso X-windchill-req.
Monitorare email interne con oggetto "Windchill PDMLink module serious data leak": la campagna di extortion utilizza questo oggetto standardizzato per le comunicazioni di massa.
Le azioni sopra descritte sono raccomandazioni standard di sicurezza basate su pattern tecnici osservati nei report Ransom-ISAC e ReliaQuest, non direttive specifiche emesse dalle fonti primarie.
Limiti e contesto
Il dossier non specifica il numero esatto di organizzazioni compromesse nella campagna Windchill/FlexPLM. Non è verificato se Clop abbia ricevuto riscatti o iniziato a pubblicare dati sul leak site. La fonte non specifica se CVE-2026-12569 sia stata exploitata come zero-day inizio giugno o solo dopo disclosure del 17 giugno. Techzine nota che fonti pubbliche non hanno ancora linkato formalmente l'exploit a Clop.
Le informazioni si basano su advisory Ransom-ISAC e osservazioni ReliaQuest via BleepingComputer. Non è stata effettuata verifica indipendente multi-source.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.bleepingcomputer.com/news/security/clop-ransomware-targets-windchill-flexplm-in-data-theft-attacks/
- https://ransom-isac.org/blog/clop-windchill-flexplm-exploitation/
- https://www.techzine.eu/news/security/143159/clop-exploits-vulnerability-in-ptc-windchill-and-flexplm/
- https://thehackernews.com/2026/07/cl0p-affiliates-target-internet-exposed.html
- https://www.techzine.eu/news/security/142707/ai-agent-carries-out-ransomware-attack-independently/
- https://cyberpress.org/cl0p-exploits-ptc-windchill-zero-day/
- https://nvd.nist.gov/vuln/detail/CVE-2026-12569
- https://www.cisa.gov/news-events/alerts/2026/06/25/cisa-adds-two-known-exploited-vulnerabilities-catalog
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-12569