Clop exploite Windchill : une web shell JSP dérobe des identifiants et des données de conception

L’attaque cible les serveurs PLM de PTC

Une campagne très probablement attribuée à Clop, également connu sous le nom de Cl0p, exploite CVE-2026-12569 contre des installations PTC Windchill et FlexPLM. L’activité a été détectée le 19 août 2026 et comprend l’installation d’une web shell JSP spécialement conçue pour ces produits.

Il ne s’agit pas d’une simple shell permettant d’exécuter des commandes sur le serveur. Le composant connaît la structure interne de Windchill, utilise les API applicatives, interroge la base de données avec l’identité déjà attribuée au logiciel et accède aux informations stockées dans les vaults.

L’objectif peut inclure le vol de données techniques, la récupération d’identifiants, le déplacement latéral, puis le déploiement de malwares ou de ransomwares. La compromission peut donc rapidement dépasser le périmètre du serveur PLM.

L’attribution à Clop est considérée comme très probable sur la base d’un advisory consacré au déploiement de web shells JSP sur des systèmes vulnérables. Le mode opératoire correspond à celui de campagnes précédentes visant des plateformes qui concentrent d’importants volumes de données d’entreprise.

CVE-2026-12569 : exécution de code à distance sans authentification

La compromission initiale exploite CVE-2026-12569, une vulnérabilité critique permettant l’exécution de code arbitraire au moyen d’une requête malveillante envoyée via le réseau.

La description technique identifie deux faiblesses associées :

• CWE-20, validation incorrecte des entrées ;
• CWE-502, désérialisation de données non fiables.

La fiche NVD attribue à la vulnérabilité un score CVSS de 9,8, avec le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

La source de l’analyse mentionne toutefois un score CVSS de 9,3. Cette différence s’explique par l’évaluation retenue, mais les deux scores placent le problème au niveau de gravité maximal. L’attaque ne nécessite ni privilèges, ni interaction de l’utilisateur, ni conditions particulières.

Selon la NVD, les versions concernées sont les suivantes :

• PTC FlexPLM <= 11.0 M030 ;
• PTC Windchill PDMlink < 11.0 M030.

La description précise également que le problème concerne les versions antérieures à 11.0 M030 et peut s’étendre aux versions CPS. Les organisations doivent donc vérifier précisément la release installée et sa correspondance avec les instructions correctives du fournisseur.

La faille figure déjà dans le catalogue CISA KEV

CVE-2026-12569 figure dans le catalogue CISA Known Exploited Vulnerabilities depuis le 25 juin 2026. Pour les agences fédérales américaines, la date limite de remédiation était fixée au 28 juin 2026.

Le catalogue indique également que la vulnérabilité a été utilisée dans des campagnes de ransomware. Il ne s’agit donc pas d’un risque purement théorique ou limité à des scénarios de laboratoire : l’exploit est désormais intégré à des opérations criminelles comportant une phase structurée de post-compromission.

La CISA demande d’appliquer les mesures d’atténuation conformément aux instructions du fournisseur, en cohérence avec le guide BOD 26-04, consacré à la priorisation des mises à jour de sécurité en fonction du risque, ainsi qu’avec les exigences de Forensics Triage. Pour les services cloud, les recommandations applicables du même guide doivent être suivies. En l’absence de mesures d’atténuation adéquates, la CISA recommande de cesser d’utiliser le produit.

Au cours des 90 derniers jours, la vulnérabilité CVE-2026-8037 a également été ajoutée au catalogue KEV. Elle est associée aux mêmes fournisseurs que ceux mentionnés pour PTC, Progress et Accellion. Cette tendance inscrit le cas Windchill dans une série plus large de failles exploitées contre des produits servant à gérer des données sensibles d’entreprise.

Une web shell conçue pour comprendre Windchill

Le composant JSP observé s’exécute directement dans le processus Windchill. Il peut ainsi exploiter les fonctions légitimes de l’application plutôt que de dépendre uniquement de commandes système ou d’outils externes.

La web shell peut :

• énumérer les vaults présents dans l’installation ;
• identifier les référentiels contenant les données d’ingénierie les plus précieuses ;
• exécuter des requêtes via l’identité de base de données utilisée par Windchill ;
• charger du code Java supplémentaire directement en mémoire ;
• faciliter le vol de données, la persistance, le déplacement latéral et le chiffrement.

Le code additionnel est transmis sous la forme d’une archive ZIP encodée en Base64. Un class loader personnalisé le charge en mémoire et exécute le bytecode Java compilé. L’attaquant peut ainsi ajouter de nouvelles fonctionnalités sans installer nécessairement d’outils facilement identifiables sur le système.

L’utilisation des connexions à la base de données et des API déjà exploitées par le logiciel réduit la différence entre le trafic malveillant et l’activité normale. Les contrôles reposant uniquement sur des signatures ou sur la recherche de commandes suspectes peuvent donc ne pas détecter l’ensemble de la chaîne d’attaque.

La commande « S » déchiffre le keystore et les identifiants

La fonction la plus sensible est associée à la commande unique « S ». Celle-ci peut renvoyer en clair des identifiants administratifs ainsi que ceux utilisés pour gérer les annuaires Windchill, en s’appuyant sur la fonction interne appelée gs.

Le flux observé comprend la lecture du fichier ieStructProperties.txt, le déchiffrement du mot de passe du gestionnaire LDAP conservé dans le keystore applicatif et l’analyse des propriétés locales. La shell peut également déchiffrer :

• les identifiants des comptes administratifs ;
• les identifiants de l’object storage ;
• les clés des administrateurs du site ;
• d’autres valeurs protégées stockées dans l’environnement Windchill.

Une commande distincte permet d’exfiltrer les résultats. L’utilisation de l’identité applicative et des fonctions déjà présentes dans le produit évite, dans certains cas, de devoir créer de nouveaux comptes contrôlés par l’attaquant.

La récupération des identifiants LDAP accroît considérablement le risque. Les mêmes comptes ou annuaires intégrés peuvent contrôler l’accès à Active Directory, à la messagerie, aux VPN, au stockage et à d’autres services d’entreprise. Un incident initialement limité au serveur PLM peut ainsi se transformer en compromission de l’environnement d’entreprise.

Pourquoi les vaults Windchill constituent une cible de premier plan

Windchill et FlexPLM servent à gérer des projets produits, des plans, des nomenclatures, de la documentation technique et d’autres données propriétaires. La web shell peut identifier ces contenus sans nécessiter une longue phase de reconnaissance manuelle.

Les impacts possibles comprennent :

• le vol de plans et de documents d’ingénierie ;
• l’accès aux vaults applicatifs ;
• le vol d’identifiants réutilisables ;
• l’accès aux systèmes reliés à l’annuaire ;
• le déploiement de malwares ;
• le maintien de la persistance ;
• le chiffrement des données après leur exfiltration.

Cette séquence opérationnelle permet de passer de l’accès initial à la reconnaissance, au vol d’identifiants et à la collecte de données, tout en restant largement à l’intérieur du périmètre de confiance de l’application.

Clop a déjà utilisé le même modèle contre d’autres produits

Le cas Windchill s’inscrit dans la continuité de précédentes opérations attribuées à Clop contre des plateformes concentrant des informations sensibles.

Après l’exploitation de CVE-2021-27101 dans Accellion FTA, le groupe aurait déployé la web shell DEWMODE. La vulnérabilité affiche un score CVSS de 9,8, concerne les versions Accellion FTA <= 9_12_370 et a été ajoutée au catalogue CISA KEV le 3 novembre 2021, avec une échéance de remédiation au 17 novembre 2021. La version corrigée indiquée est FTA_9_12_380 et les versions ultérieures.

Dans le cas de CVE-2023-34362, Clop aurait utilisé LEMURLOOT après avoir compromis Progress MOVEit Transfer. Cette faille, elle aussi évaluée à 9,8 selon le CVSS, permet à un attaquant non authentifié d’exploiter une injection SQL pour accéder à la base de données de l’application.

CVE-2023-34362 figure dans le catalogue KEV depuis le 2 juin 2023, avec une échéance fixée au 23 juin 2023 pour les agences fédérales américaines. Les versions concernées comprennent les releases MOVEit Transfer antérieures à 2021.0.7, ainsi que les versions indiquées par la NVD : 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) et 2023.0.1 (15.0.1).

Vérifications immédiates pour les administrateurs Windchill

Les organisations doivent vérifier immédiatement la release de Windchill PDMlink ou de FlexPLM exposée et appliquer les mises à jour ou mesures d’atténuation recommandées par PTC. En l’absence de mesure disponible, la mise hors service temporaire du produit doit être envisagée, en particulier lorsque le service est accessible depuis Internet.

L’analyse doit rechercher :

• des fichiers JSP inattendus ou récemment déployés ;
• des requêtes anormales vers les serveurs PLM ;
• des accès à ieStructProperties.txt ;
• des lectures ou déchiffrements inhabituels du keystore ;
• l’utilisation de la commande « S » ou des activités liées à la fonction gs ;
• des requêtes exécutées avec l’identité de base de données applicative ;
• des archives ZIP encodées en Base64 ;
• des chargements de bytecode Java en mémoire ;
• l’énumération des vaults et les transferts de données inhabituels.

En cas d’indice de compromission, les identifiants LDAP, administratifs et ceux de l’object storage doivent être considérés comme exposés et faire l’objet d’une rotation. L’enquête doit couvrir les annuaires, Active Directory, la messagerie, les VPN, le stockage et tout système accessible avec les mêmes comptes.