CISA incluye vulnerabilidades críticas en PTC Windchill y Cisco Unified CM en el catálogo de explotación activa

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos incluyó este jueves, 25 de junio, dos vulnerabilidades que ya están en explotación activa en el Conocido Catálogo de Vulnerabilidades Explotadas. Una afecta a PTC Windchill, plataforma de gestión del ciclo de vida de productos utilizada en la mayoría de los fabricantes de aeronaves y vehículos en el mundo. La otra afecta a Cisco Unified Communications Manager, central de telefonía IP corporativa que opera dentro de bancos, redes de retail y operaciones de salud en veinte países.

La CVE-2026-12569 recibió una puntuación CVSS de 10.0, el máximo en la escala. Se trata de una vulnerabilidad de ejecución remota de código en Windchill PDMLink derivada de una validación inapropiada de entradas y una deserialización insegura de datos. El BSI alemán clasificó la vulnerabilidad como crítica y llegó al punto de llamar a los administradores de los sistemas durante la madrugada para acelerar la aplicación de los parches. PTC confirmó la observación activa de la instalación de webshells JSP persistentes en el directorio de inicio de sesión de Windchill, con ejecución remota de comandos y potencial exfiltración de datos.

La CVE-2026-20230, una solicitud de falsificación del lado del servidor en Cisco Unified Communications Manager y en la variante Session Management Edition, recibió una puntuación CVSS de 8.6 y una clasificación interna de Cisco de severidad crítica. La explotación no requiere autenticación, depende únicamente de que el servicio WebDialer esté habilitado, y permite escribir archivos en el sistema operativo subyacente para escalar privilegios hasta root. Cisco publicó el boletín el 3 de junio. Investigadores observaron intentos el 22 de junio y múltiples empresas informaron una explotación masiva el 23 de junio. La inclusión en el KEV obliga a las agencias federales civiles estadounidenses a aplicar la corrección en un plazo de 21 días, con plazo fijado para el 16 de julio.

Lo que se sabe y lo que aún no

Ninguna de las empresas que reportó explotación la semana pasada nombró una víctima específica o un grupo de amenaza atribuido. Horizon3.ai publicó una prueba de concepto completa para la CVE-2026-20230, con una cadena hasta root, lo que aumenta el número de atacantes oportunistas en el campo en las próximas 72 horas. Para PTC Windchill, hay un indicador específico para buscar en los registros: solicitudes POST a /Windchill/login/ con el header personalizado X-windchill-req, que no tiene uso legítimo en el producto, según el fabricante.

La clasificación de CISA no confirma un compromiso masivo. Confirma que la agencia tiene evidencia creíble de explotación activa por al menos un actor y que el riesgo para el sector público federal justifica el plazo de 21 días. Para el sector privado, el KEV no crea una obligación legal directa, pero es utilizado por aseguradoras cibernéticas, auditorías SOX y contratos con proveedores federales como un desencadenante de parche obligatorio.

Dónde realmente recae el impacto

En el sector industrial, Windchill es la plataforma central de PLM en fabricantes como Honda, Volvo, Stellantis y Lockheed Martin, además de la cadena de proveedores aeroespaciales en Alemania y Francia. Una RCE crítica en el servidor de PLM expone una lista de materiales completa, dibujos CAD y datos de calificación de proveedores. Para un CISO de un fabricante automotriz, la ventana de 21 días es cómoda solo si el entorno ya está en la versión 12.1.2 o 12.0.2 con parche actualizado aplicado, lo que según PTC aún no es el caso en una parte significativa de la base.

En Estados Unidos y el Reino Unido, donde Cisco UCM domina la telefonía corporativa en bancos, oficinas de abogados y hospitales, la SSRF abre camino para el abuso de discado automático y potencial pivot de red. Los equipos que habían desactivado el WebDialer por defecto, generalmente en entornos regulados por el PCI DSS, tienen una exposición mucho menor. En India, donde grandes cuentas de UCM operan en operaciones de BPO de Genpact, WNS y EXL, la vulnerabilidad alcanza sistemas que procesan telefonía para el consumidor estadounidense y europeo, y crea un riesgo regulatorio indirecto a través del contrato con el cliente final.

Próximas 72 horas

Cisco y PTC publicaron parches. PTC liberó corrección para Windchill 12.1.2 y 12.0.2. Cisco recomienda actualizar a Unified CM 14SU6 o 15SU5, o desactivar el WebDialer donde no haya uso comercial. Cisco y PTC no respondieron hasta el cierre de este artículo sobre el número estimado de servidores expuestos a internet pública. Shodan mostraba en la mañana del 26 de junio cerca de 3,400 instancias de Windchill alcanzables públicamente y más de 12,000 servidores Cisco UCM con panel de administración expuesto, lo que indica la dimensión real del trabajo de remediación en el sector privado.

El próximo hito es la primera atribución. Si Mandiant o Microsoft Threat Intelligence atribuyen cualquiera de las dos explotaciones a un grupo APT estatal, el régimen CVSS deja de ser el eje de prioridad y pasa a contar quién está en el objetivo.