Attribuzione NON confermata. Ransom-ISAC parla di «alleged Cl0p»; ReliaQuest dichiara che l'attore «remains unconfirmed»critical
Poche decine di server, e dentro i disegni di tutto: l'estorsione su PTC Windchill
CVE-2026-12569 è una vulnerabilità di esecuzione di codice da remoto, senza autenticazione, in PTC Windchill e FlexPLM: i sistemi dove le aziende manifatturiere conservano i disegni, le distinte base e la storia delle revisioni dei propri prodotti. CVSS 3.1 pari a 9.8 secondo NIST, 9.3 in CVSS 4.0 secondo PTC. In CISA KEV dal 25 giugno con la marcatura «knownRansomwareCampaignUse: Known». Dal 20 luglio 2026 Ransom-ISAC osserva un'ondata di email estorsive di massa verso le organizzazioni colpite. L'attribuzione a Cl0p è sospetta e non confermata, e va detto. Il numero di istanze esposte è piccolo — meno di cento secondo Censys — e questo è precisamente il punto interessante della vicenda.
Che cosa c'è dentro un sistema PLM
PLM sta per Product Lifecycle Management. Detto senza sigle: è l'archivio dove un'azienda che fabbrica oggetti tiene tutto ciò che riguarda i propri prodotti. I modelli tridimensionali, i disegni tecnici, le distinte base — cioè l'elenco esatto dei componenti e dei fornitori — le tolleranze, le specifiche dei materiali, la storia di ogni revisione e il motivo per cui è stata fatta.
FlexPLM è la variante di PTC per il settore moda e retail: stessa logica, applicata a campionari, collezioni e schede tecniche.
Vale la pena fermarsi un momento su cosa significa perdere quel contenuto. Non è un elenco di clienti, che si può ricostruire. È il progetto industriale: il come, non solo il cosa. Per molte aziende manifatturiere quell'archivio è l'azienda, nel senso che è la parte che non si rifà in sei mesi.
La vulnerabilità
Il 17 giugno 2026 viene pubblicato il record NVD di CVE-2026-12569, descritta come «A critical remote code execution (RCE) vulnerability... may be exploited through the deserialization of untrusted data». Le versioni interessate sono quelle precedenti alla release 11.0 M030 e «all CPS versions».
CISA la descrive in modo complementare: «PTC Windchill and FlexPLM contains an improper input validation vulnerability allowing an unauthenticated, remote attacker to execute arbitrary code by sending a malicious request to the network». La voce di catalogo riporta due classificazioni, CWE-20 e CWE-502.
I punteggi sono due e vanno citati entrambi, perché sono calcolati con versioni diverse dello standard: CVSS 3.1 pari a 9.8 assegnato da NIST, vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, e CVSS 4.0 pari a 9.3 assegnato da PTC come CNA. Non è una contraddizione: CVSS 4.0 pesa alcuni fattori in modo diverso. Entrambi dicono critica.
Il 25 giugno la CVE entra nel catalogo CISA KEV con scadenza di rimedio al 28 giugno: tre giorni. E con una marcatura che merita attenzione, perché è diversa da quasi tutte quelle che abbiamo commentato di recente: knownRansomwareCampaignUse: "Known". CISA non scrive «Unknown»: scrive che l'uso in campagne di ransomware o estorsione è noto.
- 17 giugno 2026La CVE
Pubblicazione su NVD: RCE non autenticata, CVSS 9.8.
- 25 giugno 2026In CISA KEV
Marcata «knownRansomwareCampaignUse: Known», scadenza al 28 giugno.
- 14 luglio 2026Le patch complete
PTC rilascia le correzioni definitive.
- 20 luglio 2026L'ondata estorsiva
Ransom-ISAC osserva l'invio massivo di email di ricatto.
- 27 luglio 2026IOC aggiornati
PTC aggiorna gli indicatori nel proprio advisory attivo.
Come si è manifestata
Il 20 luglio 2026 parte la fase visibile. Ransom-ISAC lo descrive così: «On 20 July, Ransom-ISAC began observing an alleged Cl0p ransomware... data extortion campaign sending emails with a subject line, "Windchill PDMLink module serious data leak"... sent to hundreds of users within an impacted organization».
Il dettaglio da non perdere è nell'ultima riga: le email non vanno all'ufficio legale o al responsabile della sicurezza. Vanno a centinaia di persone dentro l'organizzazione colpita. È una tecnica di pressione che abbiamo già visto altrove e che non ha niente di tecnico: si trasforma un problema che il vertice potrebbe gestire in silenzio in un problema che tutti sanno.
Sul piano tecnico, l'advisory coordinato pubblicato il 22 luglio da Ransom-ISAC insieme a eCrime.ch e DEFUSED descrive una catena in due tempi: una divulgazione di informazioni pre-autenticazione sull'endpoint WSDL di FlexPLM, combinata con un difetto nel servlet di login di Windchill. Fra gli indicatori: webshell JSP con nome esadecimale sotto /Windchill/login/, secondo il modello [0-9a-f]{16}.jsp; un file flst.txt usato per enumerare il filesystem; l'header di comando e controllo X-windchill-req: ?x8Fmgow.
Va detto con chiarezza che non risulta cifratura dei dati. Questa è estorsione da furto: si portano via il contenuto e chiedono soldi per non pubblicarlo. La parola «ransomware» descrive il gruppo sospettato e il modello di business, non ciò che è successo alle macchine.
Il numero che ribalta l'intuizione
L'analisi pubblicata da Censys il 30 luglio contiene il dato più controintuitivo della vicenda: le istanze esposte su internet sono «fewer than 100» dal primo giugno. L'80% negli Stati Uniti; circa un quarto degli host su infrastruttura Akamai.
Per confronto, sempre secondo Censys: la campagna MOVEit del 2023 riguardava «over 2,000 instances», quella su Oracle E-Business Suite del 2025 «over 2,700 instances».
Meno di cento. Il commento di Censys è la frase da portarsi via: «an exposure does not have to be widespread or globally prominent to be a valuable target».
Questo dovrebbe cambiare il modo in cui si legge la gravità di un avviso. La domanda utile non è «quanti sono i sistemi esposti», ma «che cosa c'è dentro un sistema esposto». Cento archivi di progettazione industriale di aziende automotive e aerospaziali valgono, per chi estorce, più di duemila server di trasferimento file generici. Ed è anche il motivo per cui una tecnologia di nicchia non è al riparo: un bersaglio piccolo e specializzato è più facile da censire, non meno.
Cosa fare
Aggiornate: le patch complete sono del 14 luglio. Chi aveva applicato solo le mitigazioni di fine giugno dovrebbe verificare di essere passato alle correzioni definitive.
Cercate gli indicatori, non fermatevi alla versione. La CVE è in KEV dal 25 giugno e la finestra di sfruttamento è aperta da prima: aggiornare oggi non dice niente su cosa è successo nelle settimane precedenti. I file JSP con nome esadecimale sotto /Windchill/login/, la presenza di flst.txt e l'header X-windchill-req nei log del web server sono il punto di partenza. L'advisory attivo di PTC, aggiornato il 27 luglio, è la fonte da consultare per l'elenco corrente.
Togliete Windchill da internet. Un archivio di progettazione non ha ragione di essere raggiungibile pubblicamente. Dove serve accesso esterno — fornitori, stabilimenti, studi di progettazione — va mediato, non pubblicato.
Preparate la comunicazione interna prima di averne bisogno. In questa campagna il ricatto arriva a centinaia di dipendenti contemporaneamente. Se il primo a sapere qualcosa è il personale, e nessuno sa cosa rispondere, il danno reputazionale corre più veloce dell'accertamento tecnico.
Cosa non sappiamo, e va detto
L'attribuzione non è confermata. Ransom-ISAC scrive «alleged Cl0p»; ReliaQuest è ancora più esplicita: «The actor behind these attacks remains unconfirmed. However, the observed tradecraft shares characteristics with previous Cl0p campaigns». Somiglianza di modus operandi non è identificazione.
L'uso come zero-day è una supposizione, non un fatto. L'ipotesi che la falla fosse sfruttata prima della divulgazione è formulata da Ransom-ISAC con «We suspect».
Non ci sono numeri di vittime né di riscatti. Al 22 luglio non risultavano vittime pubblicate sul sito di rivendicazione né una rivendicazione formale della campagna.
Non esistono ID MITRE ATT&CK pubblicati per questa campagna in nessuna delle fonti consultate. Non li deduciamo: una mappatura inventata è peggio di una mappatura assente.
Infine una nota di metodo: PTC è il produttore colpito, e Ransom-ISAC, eCrime.ch, DEFUSED, ReliaQuest e Censys sono fonti private. Le due fonti pubbliche indipendenti su cui poggia la parte accertata di questo dossier — esistenza, gravità e sfruttamento reale della vulnerabilità — sono NVD e il catalogo CISA KEV.
