Cl0p s’en prend à Windchill : plus de 40 organisations exposées à une faille critique

La campagne de ransomware exploite CVE-2026-12569

Cl0p a publié les noms de plus de 40 organisations qu’il affirme avoir compromises en exploitant CVE-2026-12569, une vulnérabilité critique affectant les produits PLM Windchill et FlexPLM de PTC.

Le groupe avait d’abord publié des noms partiels. Depuis le 12 août, il a commencé à révéler l’identité complète des victimes présumées. L’information a été signalée le 19 août 2026.

Ces accusations ne sont toutefois pas confirmées pour chacune des organisations concernées. Shell, Philips, Fiserv et GE ont déclaré avoir connaissance de ces revendications et mener des vérifications, sans confirmer de compromission importante de données. Le nom de GE a ensuite été retiré du site de Cl0p. On ignore si ce retrait est lié au paiement d’une rançon ou à la reprise des négociations.

Parmi les organisations citées figurent également Zebra Technologies, Ingersoll Rand, Toast, Mindray et Largan Precision, un fournisseur de lentilles pour les appareils photo d’Apple.

Une RCE sans authentification avec un score CVSS de 9,8

CVE-2026-12569 permet à un attaquant distant et non authentifié d’exécuter du code arbitraire en envoyant des requêtes spécialement conçues au système vulnérable.

La faille concerne la désérialisation de données non fiables ainsi que des problèmes de validation des entrées. La NVD associe notamment cette vulnérabilité aux catégories suivantes :

• CWE-20, improper input validation ;
• CWE-502, désérialisation de données non fiables.

Le score CVSS v3 est de 9,8, avec le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Concrètement, l’attaque peut être menée à distance, avec une faible complexité, sans identifiants et sans interaction de l’utilisateur. L’impact potentiel concerne la confidentialité, l’intégrité et la disponibilité des systèmes.

Les versions considérées comme vulnérables sont les suivantes :

• PTC FlexPLM <= 11.0 M030 ;
• PTC Windchill PDMLink < 11.0 M030.

L’avis précise également que le problème touche toutes les versions CPS ainsi que les éditions de Windchill et FlexPLM antérieures à la 11.0 M030. Les organisations doivent donc vérifier précisément l’édition, le CPS et la configuration installée, sans se limiter au numéro principal de version.

De la compromission à la web shell

L’exploitation observée dans les attaques de ransomware de Cl0p a également été analysée par ReliaQuest. Selon cette analyse, les affiliés installent des web shells sur les systèmes Windchill compromis et les utilisent comme point d’accès persistant.

Le dispositif identifié comprend un composant personnalisé capable de :

• repérer les données sensibles stockées dans les coffres ;
• déchiffrer les identifiants présents dans le keystore de Windchill ;
• intégrer un chargeur de classes Java ;
• exécuter du code supplémentaire au sein du processus applicatif ;
• faciliter le déplacement latéral, la persistance et le déploiement du ransomware.

Cette méthode réduit la dépendance à l’égard d’outils externes et exploite directement le contexte applicatif du système compromis. L’accès au processus Windchill peut ainsi fournir aux attaquants une position privilégiée pour atteindre les dépôts, les identifiants et les données de conception.

Pour chaque victime, Cl0p a indiqué le type et le volume des données qu’il affirme avoir exfiltrées. La liste comprend des bases de données, des fichiers de conception, des sauvegardes, des photographies, des images, de la documentation technique, des plans, des diagrammes, des journaux et des documents d’entreprise.

Les volumes annoncés vont de 1 Go à plusieurs téraoctets par organisation. Les contenus pourraient inclure de la propriété intellectuelle et des informations personnelles sensibles. Toutes les données n’auraient toutefois pas nécessairement la même valeur : certaines pourraient déjà être publiques ou présenter une utilité limitée. Cela pourrait expliquer pourquoi certaines organisations auraient refusé de payer la rançon, mais cette hypothèse ne peut pas être vérifiée dans chaque cas.

Une vulnérabilité déjà exploitée activement

CVE-2026-12569 a été rendue publique en juin, lorsque la CISA l’a ajoutée à son catalogue Known Exploited Vulnerabilities (KEV) et que PTC a signalé des attaques en cours.

L’ajout au catalogue date du 25/06/2026. Pour les agences fédérales américaines, la date limite de remédiation était fixée au 28/06/2026.

La NVD classe également cette faille parmi celles utilisées dans des campagnes de ransomware. Le secteur de la cybersécurité a observé une exploitation associée à Cl0p à la fin du mois de juillet. CVE-2026-12569 est présentée comme la première vulnérabilité Windchill exploitée dans la nature.

Cette affaire s’inscrit dans la stratégie déjà adoptée par Cl0p contre les plateformes d’entreprise. Le groupe avait mené des campagnes de vol de données et de double extorsion en exploitant des vulnérabilités dans Oracle E-Business Suite, MOVEit, Cleo et GoAnywhere.

Le mode opératoire est récurrent : compromettre une application centrale, exfiltrer d’importants volumes de données, puis publier progressivement les noms des victimes afin d’accroître la pression sur elles. Des organisations allemandes auraient par ailleurs été averties par la police de la possibilité d’attaques imminentes.

Que doivent faire les organisations qui utilisent Windchill ?

La première mesure consiste à installer la mise à jour ou à appliquer la mesure d’atténuation indiquée par PTC, puis à mettre Windchill et FlexPLM à niveau vers les éditions non vulnérables prévues par l’avis, en vérifiant également toutes les versions CPS installées.

La priorité doit être accordée aux environnements exposés à Internet. Si la mise à jour n’est pas immédiatement possible, l’organisation doit appliquer les mesures d’atténuation du fournisseur, réduire l’exposition du service et envisager l’isolation temporaire du produit. La CISA recommande d’en interrompre l’utilisation lorsque aucune mesure d’atténuation n’est disponible.

La surveillance doit notamment porter sur :

• les web shells nouvelles ou modifiées ;
• le chargement anormal de classes Java ;
• les exécutions inhabituelles de code dans le processus applicatif ;
• les accès irréguliers aux coffres et aux keystores ;
• les authentifications suspectes et les déplacements latéraux ;
• la lecture ou le transfert anormal de bases de données, de sauvegardes et de fichiers techniques.

Les identifiants potentiellement exposés doivent être renouvelés, y compris ceux stockés dans le keystore. En présence d’indicateurs de compromission, il est nécessaire de préserver les journaux, les images des systèmes et les autres éléments utiles à l’analyse, sans supprimer la web shell avant d’avoir recueilli les preuves.

La CISA demande également de suivre les instructions applicables du BOD 26-04 — Prioritizing Security Updates Based on Risk ainsi que les exigences de Forensics Triage. Pour les services cloud, les recommandations prévues pour ce type d’environnement doivent être appliquées.

On ignore si toutes les organisations citées ont réellement subi une compromission ou quelle quantité de données a effectivement été volée. Pour les utilisateurs de versions vulnérables, toutefois, la présence de la faille dans le catalogue KEV et l’observation de campagnes de ransomware font de la mise à jour une mesure urgente, et non une simple action préventive.