Una nuova campagna di estorsione dati sta prendendo di mira installazioni esposte su Internet di PTC Windchill e FlexPLM, due piattaforme molto diffuse in ambito industriale per la gestione del ciclo di vita del prodotto. Gli attaccanti, collegati ad attività riconducibili all’ecosistema Cl0p ransomware, stanno sfruttando una catena di vulnerabilità per arrivare a una remote code execution senza autenticazione, con un impatto potenzialmente critico per aziende di manifattura automotive, aerospazio e retail.
La tecnica osservata combina una falla di information disclosure pre-autenticazione nel punto di accesso WSDL di FlexPLM con un difetto lato server nel servlet di login di Windchill. Questa concatenazione consente di eseguire codice da remoto senza credenziali e di distribuire web shell JSP con nomi esadecimali all’interno del percorso di login di Windchill.
Una volta ottenuto l’accesso iniziale, gli aggressori procedono con attività di enumerazione del file system e preparano la raccolta di dati sensibili, in particolare documentazione di ingegneria e design e informazioni di prodotto ad alto valore. Lo schema finale rientra nel modello di double extortion, dove al furto dei dati segue la minaccia di pubblicazione o vendita.
Al centro dell’allarme c’è CVE-2026-12569, una vulnerabilità critica di Windchill con punteggio CVSS 9.3 già nota per essere sfruttata attivamente. In parallelo viene citata anche la debolezza nel WSDL di FlexPLM con severità elevata, usata come componente della catena di attacco per abilitare lo sfruttamento non autenticato. In scenari reali, la presenza della web shell permette esecuzione di comandi remoti e facilita l’esfiltrazione di dati di prodotto.
Sono stati condivisi anche indicatori di compromissione sotto forma di indirizzi IP associati all’infrastruttura osservata durante gli attacchi. Un ulteriore elemento tipico della campagna riguarda le email di estorsione, inviate spesso da account già compromessi e recapitate a numerosi utenti interni della stessa organizzazione, aumentando pressione e probabilità di contatto.
Il contesto conferma un pattern consolidato: gruppi orientati all’estorsione puntano su applicazioni enterprise esposte, sfruttano vulnerabilità critiche e cercano repository di dati ad alto valore per massimizzare leva e impatto operativo.