La CISA ha aggiunto al proprio catalogo delle vulnerabilità sfruttate attivamente (Known Exploited Vulnerabilities, KEV) una falla critica che colpisce le piattaforme Windchill e FlexPLM di PTC, imponendo alle agenzie federali statunitensi di applicare le contromisure entro il 28 giugno. Si tratta di un evento che fa storia per due ragioni: è la prima volta che un prodotto PTC entra nel catalogo KEV ed è anche la prima conferma di uno sfruttamento reale di una piattaforma di gestione del ciclo di vita del prodotto (PLM).

La vulnerabilità

La falla è identificata come CVE-2026-12569 e ha un punteggio CVSS di 9,3, nella fascia più alta della scala. Nasce da una combinazione di validazione insufficiente dell'input e di deserializzazione di dati non attendibili: una coppia di difetti che permette a un attaccante remoto e non autenticato di eseguire codice arbitrario sul sistema bersaglio semplicemente inviando richieste opportunamente costruite. In altre parole, non servono credenziali né interazione da parte di un utente legittimo: l'esposizione su rete è di per sé sufficiente a rendere il sistema attaccabile.

Lo sfruttamento in corso

Secondo le analisi disponibili, gli aggressori stanno usando la vulnerabilità per installare webshell JSP persistenti, ossia componenti malevoli che restano in ascolto sul server e consentono di eseguire comandi da remoto e di esfiltrare dati anche dopo la compromissione iniziale. PTC ha avviato la pubblicazione di patch e mitigazioni a partire dal 17 giugno e ha diffuso il giorno successivo gli indicatori di compromissione (IoC), avvertendo proprio dell'attività di rilascio di webshell. La cronologia conferma che la finestra tra divulgazione e abuso reale si è rivelata strettissima.

Chi è esposto

Windchill e FlexPLM sono soluzioni PLM diffuse in settori dove la proprietà intellettuale è un asset strategico: difesa, aerospazio, automotive, dispositivi medici, elettronica, macchinari industriali e beni di consumo. Un accesso non autorizzato a questi ambienti può significare il furto di progetti, distinte base, specifiche tecniche e altra documentazione riservata, oltre a costituire un possibile trampolino verso il resto della rete aziendale.

Cosa fare

La priorità è applicare senza indugio gli aggiornamenti e le mitigazioni pubblicati da PTC, seguendo le indicazioni del Trust Center del produttore. È inoltre fondamentale verificare la presenza degli IoC diffusi, a partire dalla ricerca di webshell JSP non legittime e di accessi anomali, e ridurre per quanto possibile l'esposizione su Internet delle istanze Windchill e FlexPLM. In presenza di segnali di compromissione, l'appliance va trattata come violata, attivando le procedure di risposta agli incidenti. La scadenza del 28 giugno vincola formalmente le agenzie federali USA, ma vale come riferimento di urgenza per qualunque organizzazione utilizzi questi prodotti.