Cl0p ataca Windchill: más de 40 organizaciones expuestas a una vulnerabilidad crítica

La campaña de ransomware explota CVE-2026-12569

Cl0p ha publicado los nombres de más de 40 organizaciones que, según afirma, comprometió mediante la explotación de CVE-2026-12569, una vulnerabilidad crítica en los productos PLM de PTC Windchill y FlexPLM.

El grupo difundió inicialmente nombres parciales. Desde el 12 de agosto comenzó a publicar los nombres completos de las presuntas víctimas. La información se detectó el 19 de agosto de 2026.

Sin embargo, las acusaciones no han sido confirmadas por las organizaciones afectadas. Shell, Philips, Fiserv y GE declararon conocer las afirmaciones y estar realizando comprobaciones, pero no confirmaron una filtración significativa de datos. Posteriormente, el nombre de GE fue retirado del sitio de Cl0p. Se desconoce si la retirada está relacionada con un pago o con la reanudación de las negociaciones.

Entre las organizaciones mencionadas también figuran Zebra Technologies, Ingersoll Rand, Toast, Mindray y Largan Precision, proveedor de lentes para las cámaras de Apple.

Una RCE sin autenticación y con una puntuación CVSS de 9.8

CVE-2026-12569 permite a un atacante remoto no autenticado ejecutar código arbitrario mediante el envío de solicitudes especialmente diseñadas al sistema vulnerable.

La vulnerabilidad afecta a la deserialización de datos no confiables y a la validación de entradas. El NVD la asocia con:

• CWE-20, validación incorrecta de entradas;
• CWE-502, deserialización de datos no confiables.

La puntuación CVSS v3 es de 9.8, con el siguiente vector:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

En la práctica, el ataque puede realizarse a través de la red, con baja complejidad, sin credenciales y sin interacción del usuario. El impacto potencial afecta a la confidencialidad, integridad y disponibilidad de los sistemas.

Las versiones identificadas como vulnerables son:

• PTC FlexPLM <= 11.0 M030;
• PTC Windchill PDMLink < 11.0 M030.

El aviso también especifica que el problema afecta a todas las versiones CPS y a las versiones de Windchill y FlexPLM anteriores a la 11.0 M030. Por tanto, las organizaciones deben verificar con precisión la versión, el CPS y la configuración instalada, sin limitarse al número principal de la versión.

De la intrusión a la web shell

La explotación observada en los ataques de ransomware de Cl0p también ha sido analizada por ReliaQuest. Según el análisis, los afiliados instalan web shells en los sistemas Windchill comprometidos y las utilizan como punto de acceso persistente.

El conjunto de herramientas identificado incluye un componente personalizado capaz de:

• localizar datos sensibles almacenados en los vaults;
• descifrar las credenciales presentes en el keystore de Windchill;
• incorporar un cargador de clases Java;
• ejecutar código adicional dentro del proceso de la aplicación;
• facilitar el movimiento lateral, la persistencia y el despliegue del ransomware.

Este método reduce la dependencia de herramientas externas y aprovecha directamente el contexto de la aplicación comprometida. Por ello, el acceso al proceso de Windchill puede proporcionar a los atacantes una posición privilegiada para alcanzar repositorios, credenciales y datos de diseño.

Cl0p ha indicado para cada víctima el tipo y el volumen de los datos que afirma haber sustraído. La lista incluye bases de datos, archivos de proyectos, copias de seguridad, fotografías, imágenes, documentación de ingeniería, planos, diagramas, registros y documentos corporativos.

Los volúmenes declarados van de 1 GB a varios terabytes por organización. El contenido podría incluir propiedad intelectual e información personal sensible. Sin embargo, no todos los datos tendrían necesariamente el mismo valor: parte podría ser pública o tener una utilidad limitada. Esto podría explicar por qué algunas organizaciones no habrían aceptado pagar el rescate, aunque el dato no puede verificarse en cada caso.

Una vulnerabilidad ya explotada activamente

CVE-2026-12569 se hizo pública en junio, cuando CISA la incorporó al catálogo Known Exploited Vulnerabilities (KEV) y PTC informó de ataques en curso.

La incorporación al catálogo se produjo el 25 de junio de 2026. Para las agencias federales estadounidenses, la fecha límite indicada para la remediación era el 28 de junio de 2026.

El NVD también clasifica la vulnerabilidad como utilizada en campañas de ransomware. La comunidad de ciberseguridad observó la explotación asociada a Cl0p a finales de julio. CVE-2026-12569 se describe como la primera vulnerabilidad de Windchill explotada activamente.

El caso se enmarca en la estrategia que Cl0p ya ha utilizado contra plataformas empresariales. El grupo llevó a cabo campañas de robo y doble extorsión aprovechando vulnerabilidades en Oracle E-Business Suite, MOVEit, Cleo y GoAnywhere.

El patrón operativo es recurrente: comprometer una aplicación central, sustraer grandes cantidades de datos y publicar progresivamente los nombres para aumentar la presión sobre las víctimas. Además, la policía habría advertido a organizaciones alemanas de la posibilidad de ataques inminentes.

Qué deben hacer las organizaciones que utilizan Windchill

La primera medida consiste en aplicar la actualización o mitigación indicada por PTC y actualizar Windchill y FlexPLM, como mínimo, a las versiones no vulnerables especificadas en el aviso. También deben comprobar todas las versiones CPS instaladas.

La prioridad debe centrarse en los entornos expuestos a Internet. Si la actualización no puede aplicarse de inmediato, la organización debería implementar las mitigaciones del fabricante, reducir la exposición del servicio y valorar el aislamiento temporal del producto. CISA recomienda interrumpir su uso cuando no existan mitigaciones disponibles.

La monitorización debería centrarse en:

• web shells nuevas o modificadas;
• cargas anómalas de clases Java;
• ejecuciones inusuales de código en el proceso de la aplicación;
• accesos irregulares a vaults y keystores;
• autenticaciones sospechosas y movimientos laterales;
• lecturas o transferencias anómalas de bases de datos, copias de seguridad y archivos técnicos.

Deben rotarse las credenciales potencialmente expuestas, incluidas las almacenadas en el keystore. Ante cualquier indicio de compromiso, es necesario preservar los registros, las imágenes de los sistemas y otros elementos útiles para el análisis, evitando eliminar la web shell antes de recopilar las evidencias.

CISA también exige seguir las instrucciones aplicables del BOD 26-04 — Prioritizing Security Updates Based on Risk y los requisitos de Forensics Triage. Para los servicios en la nube deben aplicarse las directrices correspondientes a ese tipo de entorno.

No se sabe si todas las organizaciones mencionadas sufrieron una intrusión real ni qué cantidad de datos fue sustraída. Sin embargo, para quienes utilizan versiones vulnerables, la inclusión de la vulnerabilidad en el catálogo KEV y la detección de campañas de ransomware convierten la actualización en una respuesta urgente, no en una simple medida preventiva.