Alerta crítica: el ransomware Cl0p afecta a PTC Windchill y FlexPLM con una cadena de vulnerabilidades

Introducción

El 25 de julio de 2026 el panorama de la seguridad industrial se vio sacudido por una nueva campaña agresiva del grupo de ransomware Cl0p (también conocido como Chubby Scorpius, FIN11 o Lace Tempest). Los atacantes están dirigiendo sus ataques contra instalaciones expuestas a Internet de dos productos de PTC – Windchill (gestión del ciclo de vida del producto) y FlexPLM (gestión del ciclo de vida del producto para retail) – concatenando dos vulnerabilidades para lograr la ejecución arbitraria de código sin autenticación. La actividad maliciosa ya ha afectado a empresas de los sectores manufacturero, automotriz, aeroespacial y minorista, con robos de datos de diseño y doble extorsión.

Análisis técnico

El ataque aprovecha dos fallos distintos en los productos PTC para construir una cadena de explotación completa.

• Divulgación de información en FlexPLM: una vulnerabilidad (CVSS 7.5, actualmente sin identificador CVE público) en el endpoint WSDL de FlexPLM permite a un atacante no autenticado recuperar información sensible del sistema. En concreto, la exposición indebida de detalles de la interfaz SOAP posibilita mapear la arquitectura interna y recopilar datos útiles para la siguiente fase.
• Ejecución remota de código en Windchill (CVE-2026-12569): se trata de un fallo del lado del servidor en el servlet de inicio de sesión de Windchill, clasificado con CVSS 9.3. Aprovechando la información obtenida de la primera fuga, un atacante puede invocar el servlet vulnerable sin disponer de credenciales, obteniendo la ejecución de comandos arbitrarios con los privilegios de la aplicación.

Una vez conseguido el acceso, los operadores de Cl0p despliegan shells web JSP con nombres hexadecimales en el directorio /Windchill/login/, enumeran el sistema de archivos y roban datos de diseño, ingeniería y propiedad intelectual. A continuación se produce la clásica doble extorsión: amenaza de publicar los datos robados y, en paralelo, de interrumpir los sistemas si no se paga el rescate. Los correos electrónicos de extorsión se envían a cientos de usuarios corporativos aprovechando cuentas previamente comprometidas, aumentando la presión psicológica.

Los indicadores de compromiso (IoC) actualmente asociados a esta campaña incluyen las direcciones IP:

• 216.152.148.54
• 216.152.151.204
• 104.243.35.63
• 5.180.41.35

Impacto

Los sectores afectados – manufacturero, automotriz, aeroespacial y minorista – manejan datos de diseño extremadamente sensibles, cuyo robo puede traducirse en pérdida de ventaja competitiva, violaciones de propiedad intelectual y daños reputacionales. Además, la distribución de shells web permite una persistencia a largo plazo, con el riesgo real de interrupción operativa si los atacantes deciden pasar a la fase de cifrado o sabotaje. La presencia de CVE-2026-12569 en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA subraya la urgencia de intervención para todas las organizaciones que utilicen los productos afectados.

Mitigación

PTC ha confirmado el aumento de actividad hostil y ha publicado un aviso de seguridad con las siguientes recomendaciones:

• Aplicar inmediatamente los parches lanzados para Windchill y FlexPLM. Las empresas deben consultar el aviso oficial para identificar las versiones corregidas y los procedimientos de actualización.
• Reducir la superficie de ataque: siempre que sea posible, limitar la exposición directa a Internet de ambos servicios, adoptando soluciones de segmentación, VPN y acceso condicionado.
• Inspeccionar los sistemas: revisar el directorio /Windchill/login/ en busca de shells web con nombres hexadecimales. Verificar los registros en busca de enumeraciones anómalas del sistema de archivos y solicitudes sospechosas a los endpoints WSDL de FlexPLM.
• Implementar la monitorización de los IoC listados, integrándolos en los sistemas de detección (IDS/IPS, SIEM) para interceptar posibles intentos de comunicación con infraestructuras maliciosas.

FAQ

1. ¿Qué productos de PTC son vulnerables y cómo puedo saber si mi versión está en riesgo?
Las vulnerabilidades afectan a PTC Windchill y PTC FlexPLM. PTC ha publicado actualizaciones de seguridad y un aviso oficial que detalla las versiones corregidas. Se recomienda consultar el portal de soporte de PTC y verificar el estado de su instalación.

2. ¿Cómo puedo detectar una compromisión en curso o ya ocurrida?
Las señales principales incluyen: la presencia de archivos JSP con nombres hexadecimales en la carpeta /Windchill/login/; tráfico de red hacia las direcciones IP maliciosas señaladas; solicitudes anómalas a los endpoints WSDL de FlexPLM; enumeración inusual del sistema de archivos en los registros de aplicación. Un análisis forense dirigido puede confirmar el acceso no autorizado.

3. Además de aplicar los parches, ¿qué contramedidas inmediatas puedo adoptar?
Eliminar inmediatamente la exposición directa a Internet de Windchill y FlexPLM, colocándolos detrás de una VPN o un sistema de acceso condicionado. Paralelamente, iniciar la monitorización activa de los registros, bloquear los IoC conocidos a nivel de firewall y preparar un plan de respuesta a incidentes que contemple el aislamiento de los sistemas sospechosos y la notificación a las partes interesadas.