Clop exploite CVE-2026-12569 : 43 victimes via PTC Windchill et FlexPLM

Les faits

Le groupe Clop — acteur historique du ransomware connu pour ses campagnes massives d'exploitation zero-day (MOVEit Transfer en 2023, GoAnywhere MFT en 2023, Cleo en 2024) — a lancé en juin 2026 une nouvelle vague d'attaques ciblant les plateformes PLM (Product Lifecycle Management) de PTC : Windchill PDMLink et FlexPLM. Selon les analyses de Ransom-ISAC et BleepingComputer, Clop a exploité CVE-2026-12569 comme zero-day dès début juin 2026, avant que PTC ne publie des correctifs.

CVE-2026-12569 est une vulnérabilité de désérialisation de données non fiables (CWE-502) permettant à un attaquant non authentifié d'exécuter du code arbitraire à distance sur les instances Windchill et FlexPLM vulnérables. Le CVSS attribué par le NVD est de 9.8, PTC ayant évalué la sévérité à 9.3 selon CVSS v4.0. L'exploitation chaîne deux failles distinctes : une fuite d'information pré-authentification dans l'endpoint WSDL de FlexPLM, et une faiblesse dans le servlet de login Windchill permettant une exécution de code distante sans authentification.

Selon les analyses techniques publiées par Ransom-ISAC et Help Net Security, les opérateurs Clop déploient après exploitation des webshells JSP personnalisés pour maintenir leur accès. Ces webshells présentent un pattern de nommage distinctif : le préfixe dpr_ suivi de 8 caractères hexadécimaux (exemple : dpr_0a3f9c12.jsp). Ils sont déposés sous le répertoire /Windchill/login/ de l'application web, assurant leur persistance même après redémarrage du serveur d'application.

Une fois le webshell implanté, les attaquants procèdent à une phase d'énumération du système de fichiers via un script nommé flst.txt, avant d'identifier et d'exfiltrer les données de valeur. PTC Windchill et FlexPLM centralisent pour leurs clients des actifs d'une valeur considérable : plans CAO, propriété intellectuelle produit, spécifications de fabrication, données de la chaîne d'approvisionnement, fiches techniques, données de conformité réglementaire et informations contractuelles avec des clients OEM. Ces données sont particulièrement prisées par Clop pour leur pouvoir d'extorsion élevé.

Un élément structurel distingue cette campagne Clop 2026 des vagues précédentes : aucun chiffrement de fichiers n'est déployé. Clop adopte une stratégie d'extorsion pure par vol de données, sans ransomware chiffrant. Cette évolution, documentée également chez ShinyHunters et Karakurt, reflète une tendance structurelle du paysage cyber 2026 — l'extorsion par menace de publication de données volées s'avère plus lucrative et moins risquée que le chiffrement, qui génère un signal fort chez les victimes et déclenche des réponses opérationnelles immédiates. Clop opère désormais en silence, durant des semaines, avant que les victimes ne soient contactées.

Selon le tracker indépendant de Shattered.io, 43 victimes avaient été listées sur le site de leak de Clop au 10 septembre 2026 dans le cadre de cette campagne Windchill/FlexPLM. Les secteurs les plus touchés sont le manufacturing (industrie de process, équipementiers), l'aérospatial, l'automobile et le retail. La répartition géographique est globale : Amérique du Nord, Europe occidentale et Asie-Pacifique. En Europe, des équipementiers automobiles et industriels figurent parmi les victimes confirmées.

Clop adresse ensuite aux victimes des demandes d'extorsion dont les montants varient de plusieurs millions à plusieurs dizaines de millions de dollars selon la taille de l'organisation et la sensibilité des données exfiltrées. Le groupe a recours à des emails directs aux employés des victimes pour les inciter à faire pression sur leurs employeurs — une tactique systématisée depuis 2023 et perfectionnée dans cette nouvelle campagne. Le groupe indique aux victimes un délai de négociation, passé lequel les données sont publiées progressivement sur leur site de leak.

PTC a publié des correctifs pour CVE-2026-12569 sur son advisory center en juin 2026 (advisory Windchill-FlexPLM-RCE-Vulnerability). Les organisations n'ayant pas encore appliqué ces patches se trouvent dans une situation de risque maximum : la campagne Clop est active depuis 3 mois, le code d'exploitation est maîtrisé, et la valeur des données Windchill/FlexPLM en fait des cibles prioritaires. Le fait que Clop opère sans chiffrement signifie qu'une compromise peut rester totalement invisible pendant des semaines — sans alerte, sans ralentissement système, sans signal d'alarme évident.

Impact et exposition

PTC Windchill est le leader mondial du PLM, avec des déploiements dans des milliers d'entreprises industrielles sur tous les continents. Les organisations utilisant Windchill PDMLink et FlexPLM dans des versions antérieures aux correctifs de juin 2026 sont directement exposées, que leur instance soit exposée sur Internet ou derrière un VPN (voir le risque de mouvement latéral post-accès initial). L'impact va au-delà de la perte de données immédiate : la divulgation de plans produits, de propriété intellectuelle et de données chaîne d'approvisionnement peut affecter la compétitivité sur des années dans des secteurs comme l'aérospatial ou l'automobile.

Recommandations

• Appliquer immédiatement les correctifs PTC pour Windchill PDMLink et FlexPLM publiés en juin 2026 (advisory Windchill-FlexPLM-RCE-Vulnerability sur ptc.com/trust-center)
• Rechercher des indicateurs de compromission : auditer le répertoire /Windchill/login/ pour la présence de fichiers JSP au pattern dpr_ + 8 caractères hexadécimaux
• Analyser les logs d'accès aux endpoints WSDL FlexPLM et au servlet de login Windchill depuis début juin 2026 — identifier des tentatives d'exploitation ou des accès anormaux
• Segmenter réseau les instances Windchill et FlexPLM : elles ne doivent pas être directement exposées sur Internet ; déployer un reverse proxy avec authentification forte en amont
• Inventorier et classifier les données critiques hébergées sur la plateforme et évaluer l'impact d'une divulgation par catégorie (IP, données client, chaîne d'approvisionnement)