Allerta critica: il ransomware Cl0p colpisce PTC Windchill e FlexPLM con una catena di vulnerabilità

Introduzione

Il 25 luglio 2026 il panorama della sicurezza industriale è stato scosso da una nuova campagna aggressiva del gruppo ransomware Cl0p (noto anche come Chubby Scorpius, FIN11 o Lace Tempest). Gli attaccanti stanno prendendo di mira installazioni esposte su Internet di due prodotti PTC – Windchill (gestione del ciclo di vita del prodotto) e FlexPLM (gestione del ciclo di vita del prodotto per il retail) – concatenando due vulnerabilità per ottenere l’esecuzione arbitraria di codice senza alcuna autenticazione. L’attività malevola ha già coinvolto aziende dei settori manifatturiero, automobilistico, aerospaziale e retail, con furti di dati progettuali ed estorsione a doppio binario.

Analisi tecnica

L’attacco sfrutta due falle distinte nei prodotti PTC per costruire una catena di exploit completa.

• Information disclosure su FlexPLM: una vulnerabilità (CVSS 7.5, al momento senza identificativo CVE pubblico) nell’endpoint WSDL di FlexPLM consente a un aggressore non autenticato di recuperare informazioni sensibili sul sistema. In particolare, l’esposizione indebita di dettagli dell’interfaccia SOAP permette di mappare l’architettura interna e di raccogliere dati utili per la fase successiva.
• Remote Code Execution su Windchill (CVE-2026-12569): si tratta di una falla server-side nel servlet di login di Windchill, classificata con CVSS 9.3. Sfruttando le informazioni ottenute dal primo leak, un attaccante può invocare il servlet vulnerabile senza disporre di credenziali, ottenendo l’esecuzione di comandi arbitrari con i privilegi dell’applicazione.

Ottenuto l’accesso, gli operatori di Cl0p distribuiscono web shell JSP con nomi esadecimali nella directory /Windchill/login/, enumerano il file system e sottraggono dati di progettazione, ingegneria e proprietà intellettuale. Segue la classica estorsione a doppio binario: minaccia di pubblicare i dati rubati e, in parallelo, di interrompere i sistemi se non viene pagato il riscatto. Le email estorsive vengono inviate a centinaia di utenti aziendali sfruttando account precedentemente compromessi, aumentando la pressione psicologica.

Gli indicatori di compromissione (IoC) attualmente associati a questa campagna includono gli indirizzi IP:

• 216.152.148.54
• 216.152.151.204
• 104.243.35.63
• 5.180.41.35

Impatto

I settori colpiti – manifatturiero, automobilistico, aerospaziale e retail – gestiscono dati di progettazione estremamente sensibili, il cui furto può tradursi in perdita di vantaggio competitivo, violazioni di proprietà intellettuale e danni reputazionali. Inoltre, la distribuzione di web shell consente persistenza a lungo termine, con il rischio concreto di interruzione operativa qualora gli attaccanti decidano di passare alla fase di cifratura o di sabotaggio. La presenza di CVE-2026-12569 nel catalogo Known Exploited Vulnerabilities (KEV) della CISA sottolinea l’urgenza di intervento per tutte le organizzazioni che utilizzano i prodotti coinvolti.

Mitigazione

PTC ha confermato l’aumento di attività ostile e ha pubblicato un avviso di sicurezza con le seguenti raccomandazioni:

• Applicare immediatamente le patch rilasciate per Windchill e FlexPLM. Le aziende devono fare riferimento all’advisory ufficiale per identificare le versioni corrette e le procedure di aggiornamento.
• Ridurre la superficie d’attacco: ove possibile, limitare l’esposizione diretta su Internet dei due servizi, adottando soluzioni di segmentazione, VPN e accesso condizionato.
• Ispezionare i sistemi: controllare la directory /Windchill/login/ alla ricerca di web shell con nomi esadecimali. Verificare i log per enumerazioni anomale del file system e per richieste sospette agli endpoint WSDL di FlexPLM.
• Implementare il monitoraggio degli IoC elencati, integrandoli nei sistemi di rilevamento (IDS/IPS, SIEM) per intercettare eventuali tentativi di comunicazione con infrastrutture malevole.

FAQ

1. Quali prodotti PTC sono vulnerabili e come posso sapere se la mia versione è a rischio?
Le vulnerabilità interessano PTC Windchill e PTC FlexPLM. PTC ha rilasciato aggiornamenti di sicurezza e un advisory ufficiale che dettaglia le versioni corrette. Si raccomanda di consultare il portale di supporto PTC e di verificare lo stato della propria installazione.

2. Come posso rilevare una compromissione in corso o già avvenuta?
I segnali principali includono: la presenza di file JSP con nomi esadecimali nella cartella /Windchill/login/; traffico di rete verso gli indirizzi IP maligni segnalati; richieste anomale agli endpoint WSDL di FlexPLM; enumerazione insolita del file system nei log applicativi. Un’analisi forense mirata può confermare l’accesso non autorizzato.

3. Oltre ad applicare le patch, quali contromisure immediate posso adottare?
Rimuovere immediatamente l’esposizione diretta a Internet di Windchill e FlexPLM, spostandoli dietro una VPN o un sistema di accesso condizionato. Contestualmente, avviare il monitoraggio attivo dei log, bloccare gli IoC noti a livello di firewall e preparare un piano di risposta agli incidenti che contempli l’isolamento dei sistemi sospetti e la notifica agli stakeholder.