Attaccanti collegati al gruppo di estorsione Cl0p stanno sfruttando CVE-2026-12569, una falla critica di esecuzione di codice remoto senza autenticazione in PTC Windchill e FlexPLM, per installare webshell JSP sui server esposti su internet e rubare dati di progettazione e prodotto. CISA ha inserito la falla nel catalogo Known Exploited Vulnerabilities il 25 giugno 2026, segnalandone l’uso noto in campagne ransomware. Le email di estorsione stanno raggiungendo centinaia di dipendenti nelle organizzazioni colpite. ReliaQuest precisa che l’attore resta non confermato, ma il tradecraft ricalca le precedenti campagne Cl0p. Ecco cosa verificare e correggere.
Il riscatto non arriva più insieme ai file cifrati. Arriva nella casella di posta di centinaia di dipendenti, quando i progetti industriali sono già usciti.
Il 24 luglio 2026 BleepingComputer ha riportato che il gruppo di estorsione Clop, tracciato anche come Cl0p, sta prendendo di mira i server PTC Windchill e FlexPLM esposti su internet in una nuova campagna di furto dati ed estorsione. Gli attaccanti sfruttano CVE-2026-12569, una falla critica di improper input validation che consente l’esecuzione di codice remoto senza autenticazione sulle due piattaforme di product lifecycle management. La società di sicurezza ReliaQuest ha osservato sfruttamento attivo, ha valutato la falla CVSS 9.3 e ha descritto webshell JSP usate per eseguire comandi remoti ed esfiltrare dati di prodotto sensibili. La campagna è recente, la vulnerabilità no: PTC distribuisce patch dal 17 giugno e CISA ha inserito il bug nel catalogo Known Exploited Vulnerabilities il 25 giugno, segnalandone l’uso noto in campagne ransomware. Chi ha patchato settimane fa deve comunque verificare che una webshell non fosse già stata installata prima.
Un server patchato non è un server pulito
La finestra di sfruttamento si è aperta prima che molti team applicassero la patch. Le webshell installate tramite CVE-2026-12569 sopravvivono all’aggiornamento: applicare la correzione non espelle un attaccante già dentro. I clienti PTC devono cercare le webshell e gli indicatori pubblicati, non solo verificare il livello di patch.
Cosa è stato riportato
I punti chiave, da BleepingComputer, The Hacker News e dall’advisory coordinata che citano:
- ReliaQuest ha osservato sfruttamento attivo di CVE-2026-12569 per esecuzione di codice remoto senza autenticazione, installazione di webshell JSP ed esfiltrazione di dati di prodotto.
- Un’advisory coordinata di Ransom-ISAC, eCrime.ch e DEFUSED descrive una catena: una information disclosure pre-autenticazione nell’endpoint WSDL di FlexPLM, valutata CVSS 7.5, combinata con una falla nel servlet di login di Windchill, con webshell JSP dai nomi esadecimali sotto il percorso /Windchill/login/.
- Le email di estorsione partono da account compromessi in precedenza e raggiungono centinaia di utenti in ogni organizzazione colpita.
- I bersagli includono i settori manifatturiero, automotive, aerospaziale e retail, dove le due piattaforme PLM gestiscono i progetti di prodotto dall’idea alla produzione.
- L’attore dietro gli attacchi resta non confermato. ReliaQuest osserva che il tradecraft coincide con le precedenti campagne Cl0p contro applicazioni enterprise.
La campagna in numeri
I numeri vengono dalla voce del catalogo CISA Known Exploited Vulnerabilities del 25 giugno 2026, dalle dichiarazioni ReliaQuest citate da BleepingComputer e The Hacker News e dall’advisory coordinata di Ransom-ISAC. PTC dichiara oltre 30.000 clienti, di cui oltre 1.500 brand e retailer su FlexPLM: è il motivo per cui una singola falla sfruttabile arriva così in profondità nelle filiere manifatturiere e retail.
Un’attribuzione dichiarata con prudenza
L’attore dietro questi attacchi resta non confermato. Tuttavia, il tradecraft osservato condivide caratteristiche con le precedenti campagne Cl0p contro applicazioni enterprise e archivi di dati di alto valore.
Come si è sviluppata la campagna
La cronologia conta perché separa due problemi diversi: un server non patchato e un server patchato dopo che gli attaccanti erano già passati. La sequenza segue come si sviluppa un attacco ransomware, compressa in cinque tappe datate.
La tecnica in quattro cifre
Due falle concatenate, una scadenza brevissima
Voce CISA KEV del 25 giugno 2026; dati ReliaQuest e Ransom-ISAC via BleepingComputer e The Hacker News
Cosa cambia per chi difende
Ogni riga confronta un’assunzione comune sulle piattaforme PLM con quello che questa campagna fa davvero, e la mossa pratica che un team di sicurezza può fare questa settimana.
| Assunzione comune | Cosa fa questa campagna | Mossa difensiva |
|---|---|---|
| Il PLM è uno strumento interno di ingegneria | Le istanze Windchill e FlexPLM esposte su internet vengono sfruttate senza alcuna autenticazione | Metti il PLM dietro VPN o un gateway di accesso fidato, come consiglia ReliaQuest |
| Applicare la patch chiude l’incidente | Le webshell JSP installate prima della patch continuano a funzionare dopo l’aggiornamento | Cerca file JSP con nomi esadecimali sotto /Windchill/login/ e verifica gli indicatori pubblicati |
| L’estorsione arriva con i file cifrati | I dati vengono rubati in silenzio e la pressione arriva dopo, via email, a centinaia di dipendenti | Prepara un playbook di incident response per le email di estorsione di massa, con legale e comunicazione |
Cosa va storto se la si tratta come una patch qualsiasi
Le modalità di fallimento qui sotto sono quelle che questa campagna è costruita per sfruttare. Ognuna trasforma una vulnerabilità contenibile in un data breach con conseguenze regolatorie e contrattuali, anche verso il Garante Privacy per i dati personali eventualmente coinvolti.
- â›” Verificare il livello di patch senza mai cercare le webshell, lasciando all’attaccante l’esecuzione di comandi su un server perfettamente aggiornato.
- â›” Dimenticare le istanze PLM di test o legacy esposte, che sono raggiungibili da internet proprio perché nessuno le considera produzione.
- â›” Trattare le email di estorsione come phishing ordinario e cancellarle, mentre l’esfiltrazione che le ha motivate resta non investigata.
- â›” Sottovalutare cosa sono i dati PLM: progetti e file di ingegneria delle filiere aerospaziale, automotive e medtech, esattamente gli archivi di alto valore che questo gruppo storicamente colpisce.
- â›” Ripristinare il servizio prima di raccogliere gli artefatti forensi e ruotare le credenziali, distruggendo le prove e lasciando rientrare l’intruso.
Un copione già visto, da Accellion a MOVEit a Oracle EBS
Il gruppo Clop ha costruito il proprio modello violando una piattaforma enterprise diffusa alla volta: Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U, Cleo e MOVEit Transfer, campagna che ha coinvolto oltre 2.770 organizzazioni secondo i dati Emsisoft citati da BleepingComputer. Da ultimo ha sfruttato una zero-day di Oracle E-Business Suite a partire da inizio agosto 2025. Il Dipartimento di Stato USA offre una ricompensa fino a 10 milioni di dollari per informazioni che colleghino il gruppo a un governo straniero. Che questa campagna Windchill venga o meno confermata formalmente come Cl0p, il playbook difensivo non cambia.
Cosa fare questa settimana
Ogni voce qui sotto corrisponde a un comportamento specifico e riportato di questa campagna. Nessuna richiede una nuova voce di budget, e le prime due eliminano gran parte dell’esposizione. Per la checklist completa, vedi la nostra guida su come prevenire un attacco ransomware.
- ✅ Applica le correzioni PTC dell’advisory CS473270 su ogni istanza Windchill e FlexPLM, compresi test e staging. PTC distribuisce le patch dal 17 giugno.
- ✅ Elimina l’esposizione diretta su internet: metti le piattaforme dietro VPN o un gateway di accesso fidato, la mitigazione che ReliaQuest raccomanda esplicitamente.
- ✅ Cerca webshell JSP con nomi esadecimali sotto /Windchill/login/ e rivedi i log del web server fino a metà giugno, prima di fidarti di qualunque istanza.
- ✅ Blocca e cerca i quattro indirizzi IP indicatori condivisi da Ransom-ISAC e PTC: 216.152.148.54, 216.152.151.204, 104.243.35.63 e 5.180.41.35.
- ✅ Se sospetti una compromissione, segui la sequenza ReliaQuest: isola il server, raccogli gli artefatti forensi, ruota le credenziali esposte e solo dopo ripristina il servizio.
- ✅ Avvisa i dipendenti che possono arrivare email di estorsione di massa da account esterni compromessi, e falle confluire nell’incident response invece che nel cestino.
L’esposizione è la variabile che controlli
Questa campagna ha avuto bisogno di tre ingredienti: una falla non patchata, un server PLM raggiungibile da internet e nessuno a caccia tra giugno e luglio. Tutti e tre si correggono in una settimana. Se i dati sono già usciti, trattalo come un incidente completo: prima la preservazione forense, poi la valutazione legale, poi il ripristino. Il nostro team può aiutarti con una incident response strutturata e a recuperare i file crittografati quando l’estorsione arriva a quel punto.
Fonti
- BleepingComputer, Clop ransomware targets Windchill, FlexPLM in data theft attacks
- The Hacker News, Cl0p Affiliates Target Internet-Exposed PTC Windchill and FlexPLM with Unauthenticated RCE
- CISA, catalogo Known Exploited Vulnerabilities, voce CVE-2026-12569
- PTC, advisory di sicurezza CS473270
- Ransom-ISAC, advisory coordinata sullo sfruttamento di Windchill e FlexPLM
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
📰 Menzionato e citato su Forbes Georgia, Business Insider Africa, LA Weekly e Il Sole 24 Ore.
📅 Ultimo aggiornamento: 27 luglio 2026
