Primo filtro, così chi non c’entra chiude subito: questa storia riguarda le aziende che usano PTC Windchill o FlexPLM. Sono i sistemi dove si tengono disegni tecnici, distinte base, revisioni di prodotto e schede materiali — quello che in ditta chiamano quasi sempre «il server dei disegni» o «il gestionale dei progetti».
Se in azienda i disegni stanno in una cartella di rete o su un gestionale diverso, puoi smettere di leggere qui.
Se invece il nome Windchill ti dice qualcosa, vale i prossimi dieci minuti.
Cosa sta succedendo
Tra il 24 e il 25 luglio le principali testate di sicurezza hanno documentato una campagna in corso condotta da affiliati di Cl0p, uno dei gruppi criminali più strutturati degli ultimi anni, contro le installazioni di Windchill e FlexPLM raggiungibili da internet.
Il difetto sfruttato è identificato come CVE-2026-12569, gravità 9,3 su 10. Gli attaccanti concatenano due debolezze: prima ottengono informazioni da un componente di FlexPLM senza doversi autenticare, poi usano quelle informazioni contro il modulo di login di Windchill. Il risultato è l’esecuzione di codice sul server senza possedere alcuna credenziale.
Una volta dentro, installano una piccola pagina di controllo remoto — una webshell — dentro la cartella /Windchill/login/, con nomi di file composti da caratteri esadecimali. Da lì esplorano il file system e portano via i dati.
Perché qui il danno è diverso dal solito
Nell’immaginario comune un attacco ransomware blocca i file e chiede un riscatto per riaverli. Qui la logica è un’altra, ed è peggiore per un’azienda che produce.
Cl0p in questa campagna ruba e non cifra: mette da parte progetti, disegni e dati di sviluppo, e poi minaccia di pubblicarli. È la cosiddetta doppia estorsione, che in questo caso funziona solo sul secondo binario. Un dettaglio che dice molto sul metodo: le richieste estorsive vengono inviate usando caselle email già compromesse, a centinaia di dipendenti dell’azienda colpita in una volta sola. Non una mail riservata al titolare: una pressione interna generalizzata.
Se ti cifrano i file, un backup fatto bene ti rimette in piedi e il riscatto perde potere. Se ti portano via i progetti, il backup non serve a niente: i disegni sono già usciti, e la leva del ricatto è la loro pubblicazione. Per un'azienda che vive di prodotto è il caso peggiore, perché il danno non è l'interruzione ma la perdita del vantaggio competitivo.
I settori indicati come bersaglio sono manifatturiero, automotive, aerospaziale e retail. In Italia significa un pezzo consistente della meccanica, della componentistica e della moda: aziende che spesso hanno un PLM proprio perché lavorano su commessa per clienti grandi che glielo hanno richiesto.
Come capire se sei esposto, senza essere un sistemista
Il criterio non è «ho Windchill», ma «ci si accede da fuori?». Le domande che discriminano davvero:
- I progettisti, o uno studio esterno, entrano nel sistema dei disegni da casa o dalla loro sede, senza dover prima accendere una VPN?
- Un cliente o un fornitore ha un accesso proprio per consultare le revisioni?
- Il sistema è stato aperto verso l’esterno in qualche momento degli ultimi anni, magari durante il lavoro da remoto, e poi non è più stato richiuso?
Se anche una sola risposta è sì, la verifica va fatta oggi. L’apertura verso internet è quasi sempre una scelta pratica di qualcun altro — il fornitore che ha risolto un’esigenza reale nel modo più veloce — che nessuno ha più rimesso in discussione.
Le quattro domande da mandare per iscritto
Non serve che tu diventi esperto. Serve che chiedi queste cose via mail, perché la mail resta e la telefonata no:
- Le nostre istanze di Windchill o FlexPLM sono raggiungibili da internet? Se sì, da quando e per quale esigenza.
- È stata applicata la correzione per CVE-2026-12569 distribuita da PTC da giugno? Su quale data e su quali server.
- Avete controllato la presenza di file sospetti nel percorso
/Windchill/login/? In particolare file con nomi composti da sequenze di caratteri esadecimali, che non dovrebbero esserci. - Se il sistema resta esposto, può essere messo dietro VPN o gateway di accesso entro questa settimana?
La risposta alla terza domanda è quella che conta di più, e va chiesta anche se la patch risulta installata: se qualcuno è entrato prima dell’aggiornamento, la patch chiude la porta ma non porta via chi è già dentro.
La lezione che vale oltre questo caso
C’è un motivo ricorrente per cui i sistemi di progettazione finiscono nel mirino, e non è tecnico: sono i più preziosi e i meno presidiati. Il gestionale contabile lo guardano tutti, il sito lo guarda il marketing, ma il server dei disegni lo ha installato un fornitore anni fa e da allora funziona, quindi nessuno lo tocca. Funziona bene, quindi è invisibile.
Se hai un PLM, la domanda strutturale non riguarda Cl0p. Riguarda chi controlla che quel sistema sia aggiornato, con quale frequenza, e chi te lo mette per iscritto. Nella maggior parte dei contratti di assistenza a chiamata quella verifica non è compresa: si interviene quando qualcosa si rompe, e un server bucato non si rompe.
In breve
Affiliati del gruppo Cl0p stanno attaccando le installazioni di PTC Windchill e FlexPLM esposte su internet sfruttando CVE-2026-12569, gravità 9,3, che consente di eseguire codice sul server senza credenziali. Non cifrano i file: rubano progetti e dati di sviluppo e minacciano di pubblicarli, inviando le richieste estorsive a centinaia di dipendenti da caselle già compromesse. Le patch di PTC esistono dal 17 giugno e la falla è nel catalogo CISA delle vulnerabilità sfruttate dal 25 giugno: chi ha aggiornato è verosimilmente coperto. Riguarda manifatturiero, automotive, aerospaziale e retail. Il criterio di autodiagnosi non è avere il software, è che ci si acceda dall’esterno senza VPN — e in quel caso servono quattro domande scritte al fornitore IT, oggi.