Cl0p colpisce Windchill: oltre 40 organizzazioni esposte a una falla critica

La campagna ransomware sfrutta CVE-2026-12569

Cl0p ha pubblicato i nomi di oltre 40 organizzazioni che sostiene di aver compromesso sfruttando CVE-2026-12569, una vulnerabilità critica nei prodotti PLM di PTC Windchill e FlexPLM.

Il gruppo aveva inizialmente diffuso denominazioni parziali. Dal 12 agosto ha iniziato a pubblicare i nomi completi delle presunte vittime. La notizia è stata rilevata il 19 agosto 2026.

Le accuse non sono però confermate per le singole organizzazioni. Shell, Philips, Fiserv e GE hanno dichiarato di conoscere le rivendicazioni e di stare svolgendo verifiche, senza confermare una compromissione significativa dei dati. Il nome di GE è stato poi rimosso dal sito di Cl0p. Non è noto se la rimozione sia collegata a un pagamento o alla ripresa delle trattative.

Tra le organizzazioni elencate figurano anche Zebra Technologies, Ingersoll Rand, Toast, Mindray e Largan Precision, fornitore di lenti per fotocamere Apple.

Una RCE senza autenticazione e con punteggio CVSS 9.8

CVE-2026-12569 consente a un attaccante remoto e non autenticato di eseguire codice arbitrario inviando richieste appositamente costruite al sistema vulnerabile.

La falla riguarda la deserializzazione di dati non affidabili e problemi di validazione dell’input. L’NVD associa infatti la vulnerabilità a:

• CWE-20, improper input validation;
• CWE-502, deserializzazione di dati non affidabili.

Il punteggio CVSS v3 è 9.8, con il seguente vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

In pratica, l’attacco può essere condotto via rete, con bassa complessità, senza credenziali e senza alcuna interazione da parte dell’utente. L’impatto potenziale riguarda riservatezza, integrità e disponibilità dei sistemi.

Le versioni indicate come vulnerabili sono:

• PTC FlexPLM <= 11.0 M030;
• PTC Windchill PDMLink < 11.0 M030.

L’avviso specifica inoltre che il problema interessa tutte le versioni CPS e le release di Windchill e FlexPLM precedenti alla 11.0 M030. Le organizzazioni devono quindi verificare con precisione release, CPS e configurazione installata, senza limitarsi al solo numero principale della versione.

Dalla compromissione alla web shell

Lo sfruttamento osservato nei ransomware Cl0p è stato analizzato anche da ReliaQuest. Secondo l’analisi, gli affiliati installano web shell sui sistemi Windchill compromessi e le utilizzano come punto d’accesso persistente.

L’impianto individuato include un componente personalizzato capace di:

• individuare i dati sensibili conservati nei vault;
• decrittare le credenziali presenti nel keystore di Windchill;
• incorporare un caricatore di classi Java;
• eseguire ulteriore codice all’interno del processo applicativo;
• facilitare movimento laterale, persistenza e distribuzione del ransomware.

Questa modalità riduce la dipendenza da strumenti esterni e sfrutta direttamente il contesto applicativo del sistema compromesso. L’accesso al processo Windchill può quindi offrire agli attaccanti una posizione privilegiata per raggiungere archivi, credenziali e dati progettuali.

Cl0p ha indicato per ciascuna vittima il tipo e il volume dei dati che sostiene di avere sottratto. L’elenco comprende database, file di progetto, backup, fotografie, immagini, documentazione ingegneristica, blueprint, diagrammi, log e documenti aziendali.

I volumi dichiarati vanno da 1 GB a diversi terabyte per organizzazione. I contenuti potrebbero includere proprietà intellettuale e informazioni personali sensibili. Non tutti i dati, tuttavia, avrebbero necessariamente lo stesso valore: una parte potrebbe essere già pubblica o avere utilità limitata. Questo potrebbe spiegare perché alcune organizzazioni non avrebbero accettato di pagare il riscatto, ma il dato non è verificabile per ogni caso.

Una vulnerabilità già sfruttata attivamente

CVE-2026-12569 è stata resa pubblica a giugno, quando CISA l’ha inserita nel catalogo Known Exploited Vulnerabilities (KEV) e PTC ha segnalato attacchi in corso.

L’inserimento nel catalogo risale al 2026-06-25. Per le agenzie federali statunitensi, la scadenza indicata per la remediation era il 2026-06-28.

L’NVD classifica inoltre la falla come utilizzata in campagne ransomware. L’industria della cybersecurity ha osservato lo sfruttamento associato a Cl0p alla fine di luglio. CVE-2026-12569 viene descritta come la prima vulnerabilità di Windchill sfruttata in the wild.

Il caso si inserisce nella strategia già adottata da Cl0p contro piattaforme enterprise. Il gruppo aveva condotto campagne di furto e doppia estorsione sfruttando vulnerabilità in Oracle E-Business Suite, MOVEit, Cleo e GoAnywhere.

Il modello operativo è ricorrente: compromettere un’applicazione centrale, sottrarre grandi quantità di dati e usare la pubblicazione progressiva dei nomi per aumentare la pressione sulle vittime. Organizzazioni tedesche sarebbero inoltre state avvertite dalla polizia della possibilità di attacchi imminenti.

Cosa devono fare le organizzazioni che usano Windchill

La prima misura consiste nell’applicare l’aggiornamento o la mitigazione indicata da PTC e portare Windchill e FlexPLM almeno alle release non vulnerabili previste dall’avviso, verificando anche tutte le versioni CPS installate.

La priorità deve andare agli ambienti esposti a Internet. Se l’aggiornamento non è immediatamente possibile, l’organizzazione dovrebbe applicare le mitigazioni del vendor, ridurre l’esposizione del servizio e valutare l’isolamento temporaneo del prodotto. CISA indica di interromperne l’utilizzo quando le mitigazioni non sono disponibili.

Il monitoraggio dovrebbe concentrarsi su:

• web shell nuove o modificate;
• caricamenti anomali di classi Java;
• esecuzioni di codice insolite nel processo applicativo;
• accessi irregolari a vault e keystore;
• autenticazioni sospette e movimenti laterali;
• letture o trasferimenti anomali di database, backup e file tecnici.

Le credenziali potenzialmente esposte devono essere ruotate, comprese quelle conservate nel keystore. In presenza di indicatori di compromissione è necessario preservare log, immagini dei sistemi e altri elementi utili all’analisi, evitando di cancellare la web shell prima della raccolta delle evidenze.

CISA richiede inoltre di seguire le istruzioni applicabili del BOD 26-04 — Prioritizing Security Updates Based on Risk e i requisiti di Forensics Triage. Per i servizi cloud vanno applicate le indicazioni previste per quel tipo di ambiente.

Non è noto se tutte le organizzazioni nominate abbiano subito una violazione effettiva o quale quantità di dati sia stata realmente sottratta. Per chi utilizza versioni vulnerabili, però, la presenza della falla nel catalogo KEV e l’osservazione di campagne ransomware rendono l’aggiornamento una risposta urgente, non una semplice attività preventiva.