Clop exfiltre les données d’ingénierie de Shell, GE et Philips via PTC Windchill

14 août 2026. Shell confirme enquêter sur un incident de sécurité après que le gang Clop a revendiqué le vol de 89 Go de données. Le 17 juin 2026, PTC avait déjà publié un correctif pour CVE-2026-12569, une faille critique d’exécution de code à distance dans Windchill et FlexPLM. Entre ces deux dates, la campagne a fait environ 50 victimes revendiquées, dont General Electric et Philips.

La leçon est brutale pour les industriels : votre PLM — la base qui centralise plans, nomenclatures et cycles de vie produit — est devenu une cible de double extorsion au même titre qu’un serveur de messagerie. Et Clop a fait de cette catégorie son terrain de chasse depuis trois ans.

Une faille critique, un correctif dès juin — et une campagne qui a suivi

CVE-2026-12569 est une vulnérabilité d’exécution de code à distance due à la désérialisation de données non fiables, classée critique, touchant PTC Windchill PDMLink et PTC FlexPLM. PTC a commencé à distribuer des correctifs le 17 juin 2026, accompagnés d’un avis privé (référence CS473270) invitant ses clients à rechercher des indicateurs de compromission.

La chronologie officielle dit l’urgence que les faits ont confirmée :

• 25 juin 2026 : la CISA ajoute la faille à son catalogue KEV (Known Exploited Vulnerabilities) et ordonne aux agences fédérales de sécuriser leurs instances en trois jours ;
• 26 juin 2026 : PTC alerte ses clients sur une « activité malveillante accrue » ;
• le BSI, l’office fédéral allemand de sécurité informatique, prévient ses propres clients en pleine nuit tant le risque est jugé élevé ;
• août 2026 : Clop publie sur son site de fuite une salve de nouvelles victimes — 43 d’un coup — dont Shell, GE et Philips.

Le Ransom‑ISAC et ReliaQuest ont confirmé la campagne : les attaquants déposent des webshells JSP dans le répertoire de connexion de Windchill, ce qui leur donne un accès de niveau commande à un serveur assis au cœur du réseau d’ingénierie.

Pourquoi le PLM est une cible en or

Windchill et FlexPLM appartiennent à la catégorie PLM (Product Lifecycle Management) : ils pilotent la conception, la nomenclature, la qualité et la supply chain d’un produit, du dessin à la fabrication. PTC revendique plus de 30 000 clients dans le monde, dont plus de 1 500 marques et enseignes sur FlexPLM seul.

C’est précisément ce contenu que Clop revendique. Pour Shell, le gang liste des plans d’ingénierie, des scans de rapports d’essais, des photos d’installations et des plans de projet. Pour GE et Philips, il évoque des sauvegardes, des fichiers système, des dessins et des schémas.

Deux facteurs rendent ces instances faciles à trouver. D’abord, Windchill et FlexPLM sont souvent exposés sur Internet pour permettre la synchronisation de données avec les partenaires de la chaîne d’approvisionnement. Ensuite, la chaîne d’exploitation est documentée : une divulgation d’information pré‑authentification via le WSDL de FlexPLM, combinée à une faille du servlet de connexion Windchill, aboutit à une exécution de code à distance non authentifiée.

Le résultat : un attaquant sans identifiant obtient un shell sur la machine qui détient la propriété intellectuelle la plus sensible de l’entreprise.

Le mode opératoire Clop, encore

Cette campagne s’inscrit dans la continuité exacte du modus operandi de Clop depuis 2023 : exploiter une faille zero‑day d’un logiciel de transfert ou de gestion de fichiers massivement déployé, attendre que les victimes s’exposent, puis pratiquer la double extorsion — voler les données et menacer de les publier plutôt que de chiffrer les systèmes.

Le gang a successivement visé GoAnywhere MFT et MOVEit Transfer en 2023, puis Cleo fin 2024. La nouveauté ici est la cible : non plus un outil de transfert de fichiers, mais un système PLM — c’est‑à‑dire le référentiel de conception lui‑même. Pour un industriel, la fuite d’un plan de production vaut souvent plus cher que la fuite d’un annuaire d’employés.

La généalogie du gang est éloquente. Clop s’est fait connaître en décembre 2020 en exploitant Accellion FTA, un produit de transfert de fichiers d’entreprise, avant d’enchaîner sur GoAnywhere MFT en janvier 2023, puis MOVEit Transfer en mai 2023 — une campagne qui a touché des milliers d’organisations et leurs clients en cascade. Le passage à Cleo fin 2024 a confirmé le schéma. À chaque épisode, le même script : un zero‑day, une vague de victimes silencieuse, puis une publication massive sur le site de fuite.

Ce qui rend cette campagne différente, c’est la nature des données. Un outil de transfert de fichiers stocke des échanges — souvent sensibles, mais épars. Un PLM stocke la conception : la géométrie des pièces, les nomenclatures, les procédures de test, les tolérances de fabrication. C’est exactement ce qu’un concurrent ou un État veut lire, et ce qu’une entreprise ne peut pas régénérer. La double extorsion fonctionne ici à plein : même si les systèmes ne sont pas chiffrés, la menace de publier des plans de production suffit à faire pression.

Un détail compte : c’est la deuxième faille critique de Windchill en trois mois. La cadence des vulnérabilités sur ce produit s’accélère, et Clop a démontré qu’il surveillait de près ce calendrier. Pour les industriels soumis à NIS2 ou au CIRCIA américain, une compromission de ce type déclenche en outre des obligations de notification — et, souvent, l’obligation d’informer les partenaires de la chaîne d’approvisionnement dont les données transitaient par la plateforme.

Vérifier vos instances maintenant

Si votre organisation utilise Windchill ou FlexPLM, la priorité est de confirmer l’exposition et de rechercher les webshells. Deux vérifications simples :

# 1. Repérer des fichiers JSP déposés récemment dans l’arborescence Windchill
find /opt/ptc/Windchill -name '*.jsp' -mtime -60 -printf '%TY-%Tm-%Td %p\n' 2>/dev/null

# 2. Vérifier la version installée (le correctif dépend de la branche)
grep -R "wt.version" /opt/ptc/Windchill/version.properties 2>/dev/null

Les webshells JSP se logent typiquement dans le répertoire de connexion (codebase). Tout fichier .jsp récent dont vous n’avez pas la trace est un signal d’alarme. Le correctif doit être appliqué sur la branche exacte de votre déploiement — PTC distribue les mises à jour par version, pas en un patch unique.

Au‑delà du correctif, trois mesures limitent l’exposition structurelle :

• Retirer Windchill/FlexPLM d’Internet. Si la synchronisation externe est indispensable, passez par un accès VPN ou une passerelle d’authentification, jamais par une exposition directe.
• Segmenter le réseau d’ingénierie. Un serveur PLM n’a pas à être joignable depuis le réseau bureautique, et encore moins depuis l’extérieur.
• Surveiller la sortie de données. Les webshells exfiltrent par HTTP/HTTPS : des volumes sortants anormaux depuis un serveur PLM sont le symptôme le plus fiable d’une compromission en cours.

Verdict

Le correctif de CVE-2026-12569 existe depuis le 17 juin 2026. Les victimes revendiquées en août sont, pour la plupart, des organisations qui n’ont pas traité une instance exposée dans le délai — ou qui ignoraient qu’elle était exposée.

Si vous exploitez Windchill ou FlexPLM, la première action n’est pas de patcher : c’est de découvrir si l’instance est accessible depuis Internet, puis de rechercher les webshells. Patchez ensuite, puis fermez l’exposition.

Si vous utilisez ces produits en sous‑traitance — fournisseur, partenaire, client — demandez à vos tiers de confirmer leur version et leur exposition. Un PLM compromis chez un partenaire est une porte d’entrée vers vos données de conception partagées.

Si vous n’utilisez pas PTC, retenez la méthode : Clop a déplacé son ciblage des outils de transfert vers les référentiels de conception. La prochaine cible de ce type sera un autre logiciel de niche massivement exposé. L’inventaire de vos services exposés vaut aujourd’hui plus que n’importe quel correctif individuel.

Références

• BleepingComputer — Shell investigates potential incident after Clop data theft claims, 14 août 2026
• BleepingComputer — Clop ransomware targets Windchill, FlexPLM in data theft attacks
• NVD — CVE-2026-12569
• PTC Trust Center — Remote Code Execution Vulnerability in Windchill/FlexPLM
• Ransom‑ISAC — Cl0p Exploitation of PTC Windchill & FlexPLM
• CISA — Known Exploited Vulnerabilities Catalog