Alerte critique : le ransomware Cl0p cible PTC Windchill et FlexPLM avec une chaîne de vulnérabilités

Introduction

Le 25 juillet 2026, le paysage de la sécurité industrielle a été secoué par une nouvelle campagne agressive du groupe de ransomware Cl0p (également connu sous le nom de Chubby Scorpius, FIN11 ou Lace Tempest). Les attaquants prennent pour cible les installations exposées sur Internet de deux produits PTC – Windchill (gestion du cycle de vie des produits) et FlexPLM (gestion du cycle de vie des produits pour le retail) – en enchaînant deux vulnérabilités pour obtenir l’exécution de code arbitraire sans aucune authentification. L’activité malveillante a déjà touché des entreprises des secteurs manufacturier, automobile, aérospatial et de la distribution, avec des vols de données de conception et une extorsion à double menace.

Analyse technique

L’attaque exploite deux failles distinctes dans les produits PTC pour construire une chaîne d’exploitation complète.

• Fuite d’information sur FlexPLM : une vulnérabilité (CVSS 7.5, sans identifiant CVE public pour le moment) dans le point de terminaison WSDL de FlexPLM permet à un attaquant non authentifié de récupérer des informations sensibles sur le système. L’exposition indue des détails de l’interface SOAP permet de cartographier l’architecture interne et de collecter des données utiles pour la phase suivante.
• Exécution de code à distance sur Windchill (CVE-2026-12569) : il s’agit d’une faille côté serveur dans le servlet de connexion de Windchill, classée avec un CVSS de 9.3. En s’appuyant sur les informations obtenues grâce à la première fuite, un attaquant peut invoquer le servlet vulnérable sans disposer d’identifiants, obtenant l’exécution de commandes arbitraires avec les privilèges de l’application.

Une fois l’accès obtenu, les opérateurs de Cl0p déploient des webshells JSP aux noms hexadécimaux dans le répertoire /Windchill/login/, énumèrent le système de fichiers et exfiltrent des données de conception, d’ingénierie et de propriété intellectuelle. S’ensuit la classique extorsion à double menace : menace de divulgation des données volées et, en parallèle, d’interruption des systèmes si la rançon n’est pas payée. Les courriels d’extorsion sont envoyés à des centaines d’utilisateurs de l’entreprise en utilisant des comptes préalablement compromis, augmentant ainsi la pression psychologique.

Les indicateurs de compromission (IoC) actuellement associés à cette campagne incluent les adresses IP suivantes :

• 216.152.148.54
• 216.152.151.204
• 104.243.35.63
• 5.180.41.35

Impact

Les secteurs touchés – manufacturier, automobile, aérospatial et retail – manipulent des données de conception extrêmement sensibles, dont le vol peut se traduire par une perte d’avantage concurrentiel, des violations de propriété intellectuelle et des dommages réputationnels. De plus, le déploiement de webshells permet une persistance à long terme, avec le risque concret d’interruption opérationnelle si les attaquants décident de passer à la phase de chiffrement ou de sabotage. La présence de la CVE-2026-12569 dans le catalogue des vulnérabilités exploitées connues (KEV) de la CISA souligne l’urgence d’intervenir pour toutes les organisations utilisant les produits concernés.

Mitigation

PTC a confirmé l’augmentation de l’activité hostile et a publié un avis de sécurité avec les recommandations suivantes :

• Appliquer immédiatement les correctifs publiés pour Windchill et FlexPLM. Les entreprises doivent se référer à l’avis officiel pour identifier les versions corrigées et les procédures de mise à jour.
• Réduire la surface d’attaque : dans la mesure du possible, limiter l’exposition directe des deux services sur Internet en adoptant des solutions de segmentation, de VPN et d’accès conditionnel.
• Inspecter les systèmes : vérifier le répertoire /Windchill/login/ à la recherche de webshells aux noms hexadécimaux. Contrôler les journaux pour détecter des énumérations anormales du système de fichiers et des requêtes suspectes vers les points de terminaison WSDL de FlexPLM.
• Mettre en œuvre une surveillance des IoC listés, en les intégrant dans les systèmes de détection (IDS/IPS, SIEM) pour intercepter d’éventuelles tentatives de communication avec des infrastructures malveillantes.

FAQ

1. Quels produits PTC sont vulnérables et comment savoir si ma version est à risque ?
Les vulnérabilités concernent PTC Windchill et PTC FlexPLM. PTC a publié des mises à jour de sécurité et un avis officiel qui détaille les versions corrigées. Il est recommandé de consulter le portail d’assistance PTC et de vérifier l’état de son installation.

2. Comment détecter une compromission en cours ou déjà réalisée ?
Les principaux indicateurs incluent : la présence de fichiers JSP aux noms hexadécimaux dans le dossier /Windchill/login/ ; du trafic réseau vers les adresses IP malveillantes signalées ; des requêtes anormales vers les points de terminaison WSDL de FlexPLM ; une énumération inhabituelle du système de fichiers dans les journaux applicatifs. Une analyse forensique ciblée peut confirmer l’accès non autorisé.

3. Au-delà de l’application des correctifs, quelles contre-mesures immédiates puis-je adopter ?
Supprimer immédiatement l’exposition directe de Windchill et FlexPLM sur Internet, en les plaçant derrière un VPN ou un système d’accès conditionnel. Simultanément, mettre en place une surveillance active des journaux, bloquer les IoC connus au niveau du pare-feu et préparer un plan de réponse aux incidents prévoyant l’isolation des systèmes suspects et la notification des parties prenantes.