Cl0p sfrutta zero-day PTC Windchill per rubare 100+ GB a Shell e Philips

Il 14 agosto 2026 il gruppo ransomware Cl0p ha pubblicato su un sito di leak le rivendicazioni di accesso a Shell e Philips, insieme a un elenco di 43 presunte vittime. La campagna sfrutta CVE-2026-12569, una vulnerabilità di deserialization of untrusted data nei sistemi PTC Windchill PDMLink e FlexPLM con punteggio CVSS 3.1 di 9.8, che Ransom-ISAC ha documentato come zero-day attivo già a inizio giugno, settimane prima della patch del 17 giugno. L'obiettivo non è più cifrare i file, ma estrarre i progetti tecnici: blueprint di ingegneria, bill of materials, specifiche di fornitura, materiali con potenziale valore strategico multi-annuale.

La rivendicazione e le risposte aziendali: tra conferma e circoscrizione

La fonte Agenparl riporta che Cl0p ha pubblicato i nomi di Shell e Philips su un sito di leak, affiancandoli a un elenco di quasi 50 presunte vittime. Per Shell, il gruppo sostiene di avere circa 89 GB di materiali che includono disegni tecnici, fotografie di impianti, scansioni di rapporti di prova e documentazione progettuale. Per Philips, la cifra indicata è circa 13,5 GB, prevalentemente diagrammi e planimetrie.

Le risposte corporate segnalano un divario tra rivendicazione e conferma. Shell, citata da TechTimes e BleepingComputer, ha dichiarato: "We are aware of a potential incident. We are working with our security teams and relevant experts to investigate." La formula "potential incident" non valida né smentisce i 89 GB. Philips, attraverso portavoce citato da Reuters e riportato da BleepingComputer, ha confermato un "attempted cybersecurity compromise of a specific enterprise server related to internal data", aggiungendo che "this has no impact on customer environments". Un portavoce olandese di Philips, riportato da Agenparl via NOS, ha precisato che "l'incidente non avrebbe avuto conseguenze per i clienti". Nessuna delle due aziende ha confermato i volumi di Cl0p.

Il meccanismo tecnico: da CVE-2026-12569 alla persistenza JSP

Secondo TechTimes, che cita un advisory coordinato da Ransom-ISAC, eCrime.ch e DEFUSED, la vulnerabilità risiede nella deserialization of untrusted data nei prodotti PTC Windchill PDMLink e FlexPLM. Il National Vulnerability Database assegna CVE-2026-12569 con CVSS 3.1 di 9.8 e CVSS 4.0 di 9.3, classificando la falletta come pre-authentication remote code execution via network. L'exploitation non richiede credenziali né interazione dell'utente.

La catena di attacco documentata parte da un endpoint WSDL con information disclosure (CVSS 7.5) usato per ricognizione, seguito dal deserialization exploit vero e proprio. I threat actor deployano webshell JSP persistenti con pattern specifici: nomi esadecimali di 16 caratteri nel formato [0-9a-f]{16}.jsp, varianti dpr_<8hex>.jsp, file artifact flst.txt, e header HTTP X-windchill-req: ?x8Fmgow. Questi indicatori, rilevati da ReliaQuest e Ransom-ISAC, confermano l'accesso persistente post-exploitation.

Ransom-ISAC valuta con "high confidence" che Cl0p abbia sfruttato CVE-2026-12569 come zero-day già a inizio giugno 2026, prima che PTC rilasciasse la patch il 17 giugno. CISA ha aggiunto il CVE al Known Exploited Vulnerabilities catalog il 25 giugno 2026, con una deadline federale di remediation al 28 giugno per le agenzie governative statunitensi. La finestra di exploitation pre-patch è dunque misurata in settimane, non in giorni.

Il cambio di target: perché i blueprint valgono più delle carte di credito

La campagna PTC Windchill segna un'inflessione nel targeting di Cl0p. Dalle piattaforme di file-transfer (MOVEit, 2023) ai sistemi PLM (Product Lifecycle Management), il gruppo sposta il fuoco da dati personali con shelf life breve a proprietà intellettuale industriale con valore indefinito. I documenti tecnici di Shell — fotografie di impianti, rapporti di prova, progettazioni — e i diagrammi di Philips non degradano: un blueprint di turbina o le specifiche di un dispositivo medico restano sensibili per anni, possono alimentare contraffazione, concorrenza sleale o sanzioni normative.

TechTimes riporta che i dati esfiltrati includono engineering blueprints, bill of materials e supplier specifications, con potenziale rilevanza ITAR/EAR per aziende come GE (anch'essa menzionata nelle rivendicazioni). La fonte non verifica che i file di Shell o Philips contengano effettivamente materiali controllati da export restriction; il rischio è potenziale ma non confermato. Ciò che è documentato è la logica dell'attacco: PTC conta oltre 30.000 organizzazioni clienti globalmente, con più di 1.500 clienti brand e retail su FlexPLM specificamente. La singola falla nel fornitore PLM si traduce in esposizione di massa.

"They don't really target a specific company, they target a specific zero-day vulnerability and go after it." — Brandon Parsons, threat intelligence manager Ascent Solutions e lead author dell'advisory Ransom-ISAC, via TechTimes

Il problema del rilevamento: nessuna cifratura, nessun allarme automatico

Un tratto distintivo di questa campagna è l'assenza di cifratura. Cl0p opera puro data-theft extortion: estrae i file, minaccia la pubblicazione, ma non attiva ransomware che alteri la disponibilità dei sistemi. Questo modus operandi elude gli alert tradizionali basati su rilevamento di cifratura massiva, che per decenni hanno costituito il segnale primario di incidente ransomware.

La conseguenza operativa è immediata. Le vittime potenziali devono basare il rilevamento su hunting proattivo di IoC — le webshell JSP con pattern esadecimali, gli header anomali, i file artifact di esfiltrazione — piuttosto che su reazione post-cifratura. La fonte TechTimes documenta che il patching del 17 giugno non espelle gli attacker già presenti: l'update corregge la vulnerabilità ma non rimuove la persistenza installata. La remediation richiede ricerca attiva di compromissione, non solo applicazione di patch.

Un dato di contesto geografico emerge da Censys: al 20 luglio 2026, circa 80 istanze Windchill erano esposte a Internet, l'80% hostate negli Stati Uniti. La superficie di attacco è numericamente ristretta rispetto ai servizi consumer, ma concentrata in settori critici: difesa, energia, dispositivi medici, aerospaziale.

Cosa fare adesso

Le azioni prioritarie derivano dai fatti documentati nel dossier e nelle fonti tecniche:

• Verificare la presenza di webshell JSP con pattern esadecimali ([0-9a-f]{16}.jsp, dpr_<8hex>.jsp), file flst.txt e header X-windchill-req: ?x8Fmgow sui sistemi PTC Windchill PDMLink e FlexPLM, come indicato dall'advisory Ransom-ISAC/TechTimes.
• Applicare la patch rilasciata da PTC il 17 giugno 2026 per CVE-2026-12569, tenendo conto che l'update non rimuove compromissioni preesistenti: è necessario hunting IoC congiunto alla remediation.
• Riallineare il rilevamento ransomware: eliminare la dipendenza esclusiva da alert di cifratura e implementare monitoring su accessi anomali a repository engineering, esfiltrazione di file-listing e movimento laterale in ambienti PLM.
• Rivedere la classificazione del rischio fornitore per i sistemi PLM: la logica del single-supplier-failure rende la supply chain software il punto di debolezza strutturale, come evidenziato dall'impatto di massa di una sola CVE su 43+ vittime.

La logica dell'attacco e il valore del tempo

La campagna PTC Windchill inserisce Cl0p in una sequenza che include l'exploitation di SAP Commerce Cloud CVE-2026-58231 a 3 giorni dalla patch, documentata da SecurityWeek — fonte che il brief esclude dal topic principale ma che conferma il pattern di compressione della finestra disclosure-to-exploitation. La differenza è che SAP Commerce Cloud è una piattaforma e-commerce, mentre Windchill è un sistema PLM: il target si sposta dal volume transazionale al valore strategico.

Il Department of State statunitense offre una reward di 10 milioni di dollari per informazioni che colleghino Cl0p a un governo straniero, secondo BleepingComputer. L'attribuzione politica rimane non confermata; ciò che è solido è l'infrastruttura di exploitation. I C2 IP documentati, le webshell con pattern ricorrenti, la timeline zero-day pre-patch: questi elementi costituiscono la firma operativa, non l'identità degli operatori.

Per le aziende manifatturiere, la lezione non è che "anche i sistemi PLM sono a rischio" — lo sono sempre stati — ma che il cybercrime ha imparato a quantificarne il valore. Una carta di credito scade, un blueprint no. E la minaccia di pubblicare i progetti di una turbina o di un dispositivo medico ha un leverage che i dati consumer non raggiungono. La posta in gioco non è più la privacy, ma la competitività industriale su orizzonti di decennio.

Fonti

• https://agenparl.eu/2026/08/15/shell-e-philips-nel-mirino-di-cl0p-il-gruppo-ransomware-rivendica-il-furto-di-oltre-100-gb-di-dati/
• https://www.cisoplatform.com/profiles/blogs/breach-watch-august-17-2026-clop-hits-shell-ge-philips-via-ptc-wi
• https://en.cryptonomist.ch/2026/08/14/cl0p-ransomware-attack-global/
• https://thenextweb.com/news/clop-hacking-group-philips-shell
• https://www.techtimes.com/articles/324578/20260815/clop-hacks-shell-ge-philips-43-victim-ptc-windchill-zero-day-campaign.htm
• https://nvd.nist.gov/vuln/detail/CVE-2026-12569
• https://www.helpnetsecurity.com/2026/08/17/france-tax-authority-data-breach/
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-12569
• https://www.bleepingcomputer.com/news/security/philips-and-ge-investigating-clop-ransomware-data-theft-claims/
• https://www.securityweek.com/critical-sap-commerce-cloud-vulnerability-exploited-3-days-after-disclosure/

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti