Il gruppo Clop ha rivendicato il furto di dati tecnici a 43 organizzazioni sfruttando la vulnerabilità CVE-2026-12569 in PTC Windchill e FlexPLM, piattaforma PLM usata da oltre 30.000 clienti globali. Shell ha confermato di indagare su un "potential incident", Philips ha contenuto il compromesso di un server enterprise interno, GE non ha commentato. Questa analisi si basa principalmente su TechTimes, con elementi di corroborazione da fonti secondarie; i claim di Clop sui volumi di dati non sono verificati indipendentemente.
- CVE-2026-12569 ha punteggio CVSS 9.8 (v3.1) e 9.3 (v4.0): deserialization non autenticata che porta a RCE su PTC Windchill e FlexPLM.
- Clop rivendica 43 vittime, tra cui Shell, GE e Philips; Shell indaga su un potenziale incidente, Philips ha confermato il compromesso di un server interno, GE non ha commentato.
- ReliaQuest conferma exploitation attiva e deploy di webshell JSP, ma l'attribuzione a Clop resta non confermata: "The actor behind these attacks remains unconfirmed".
- La campagna attuale non include cifratura dei file: il furto di dati tecnici avviene senza le tracce tipiche del ransomware tradizionale.
Come funziona la catena di attacco su Windchill
L'exploit si articola in due fasi. Gli attaccanti sondano prima una vulnerabilità information disclosure in endpoint WSDL FlexPLM, con CVSS 7.5, per ricognizione pre-autenticazione. La fonte non specifica il path esatto né la dimensione dei file coinvolti.
La seconda fase sfrutta CVE-2026-12569, una deserialization di dati non attendibili nel login servlet Windchill. La vulnerabilità permette esecuzione remota di codice senza credenziali. Secondo il record NVD, il vettore CVSS 3.1 è AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: rete, bassa complessità, nessun privilegio richiesto, nessuna interazione, impatto massimo su confidenzialità, integrità e disponibilità.
Una volta ottenuta l'esecuzione, gli operatori installano webshell JSP sotto /Windchill/login/ con nomi esadecimali nel pattern [0-9a-f]{16}.jsp o dpr_<8hex>.jsp. Il file flst.txt gestisce l'enumerazione, mentre l'header X-windchill-req: ?x8Fmgow caratterizza le comunicazioni C2. L'indirizzo IP 79.141.160.78 risultava attivo al 14 agosto 2026 secondo Ransom-ISAC.
"ReliaQuest has observed threat actors actively exploiting CVE-2026-12569, a critical unsafe deserialization vulnerability (CVSS 9.3) affecting PTC Windchill and FlexPLM. Exploitation enables unauthenticated remote code execution and JSP web shell deployment for remote command execution and sensitive product data exfiltration."
ReliaQuest aggiunge tuttavia: "The actor behind these attacks remains unconfirmed. However, the observed tradecraft shares characteristics with previous Cl0p campaigns targeting enterprise applications and high-value data repositories."
Perché la mancanza di cifratura cambia il paradigma
Clop ha eliminato la cifratura dalle sue campagne attuali. Questa scelta operativa priva i difensori del segnale più evidente del ransomware tradizionale: la scrittura massiva di file cifrati. Senza questa firma, l'exfiltrazione di dati tecnici prosegue con minor visibilità per gli strumenti di monitoraggio tradizionali.
I dati rubati — blueprint, report di test impianto, piani progetto — hanno una caratteristica distintiva: non scadono. Una carta di credito si può bloccare, un'identità digitale si può sostituire, ma il disegno di un componente industriale mantiene valore nel tempo. Clop ha strutturato l'estorsione su questo differenziale, trasformando i sistemi PLM in vettori di furto di proprietà intellettuale.
Le vittime: Shell indaga, Philips conferma, GE tace
Shell ha confermato tramite portavoce a BleepingComputer: "We are aware of a potential incident. We are working with our security teams and relevant experts to investigate." Clop afferma di aver rubato 89 GB di dati dalla compagnia petrolifera. Non è verificato indipendentemente che il volume effettivo sia 89 GB né che i file contengano i tipi descritti.
Philips ha rilasciato una dichiarazione riportata da Reuters e The News: ha "identified and contained an attempted compromise of a specific enterprise server tied to internal data, with no impact on customer environments." Clop rivendica circa 13,5 GB dalla società olandese, inclusi schemi tecnici. Questo dato è un claim del gruppo, non verificato indipendentemente.
GE non ha commentato pubblicamente al momento della pubblicazione. Reuters riporta che GE ha "invoked its cybersecurity response processes" ma non è stato possibile verificare indipendentemente i dettagli dell'presunta violazione.
Il totale di 43 organizzazioni rivendicate da Clop presenta un margine di incertezza. The News cita "close to 50 companies" come numero alternativo. Non è chiaro se questi conteggi includano solo organizzazioni effettivamente compromesse o anche target degli avvisi estorsivi.
Cosa fare adesso
- Applicare immediatamente la patch PTC rilasciata il 17 giugno 2026: CISA ha imposto scadenza del 28 giugno con BOD 26-04 per le agenzie federali USA.
- Cercare IOCs noti sui sistemi Windchill/FlexPLM: webshell JSP in
/Windchill/login/con pattern esadecimali, fileflst.txt, headerX-windchill-reqanomalo, traffico verso79.141.160.78. - Verificare la presenza di endpoint WSDL FlexPLM esposti senza autenticazione e limitarne l'accesso.
- Rivedere i log di accesso a Windchill per attività sospette nel periodo giugno-agosto 2026, data l'età stimata delle intrusioni.
Contesto e limiti delle fonti
La struttura narrativa di questo articolo si basa principalmente su TechTimes come fonte primaria strutturata, con corroborazione parziale da BleepingComputer, The News/Reuters e Help Net Security. I claim di Clop sui volumi di dati (89 GB Shell, 13,5 GB Philips) e sul numero di vittime non sono verificati indipendentemente. L'attribuzione a Clop è una valutazione di Ransom-ISAC con "high confidence", non una prova forense pubblica; ReliaQuest esprime cautela esplicita sull'attribuzione.
La campagna è presumibilmente iniziata a inizio giugno 2026 secondo Ransom-ISAC. Le email di estorsione sono state inviate intorno al 20 luglio, suggerendo un'età stimata di oltre sei settimane per le intrusioni al momento della scoperta. Censys riportava circa 80 istanze Windchill esposte internet al 20 luglio 2026, l'80% negli USA; la fonte non specifica il vettore primario di esposizione.
Il C2 risulta attivo al 14 agosto, suggerendo possibile persistenza. Il BSI tedesco ha contattato clienti PTC telefonicamente e via email nella notte del 17 giugno. Le email di estorsione recano l'oggetto "Windchill PDMLink module serious data leak" e provengono da account compromessi.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.techtimes.com/articles/324578/20260815/clop-hacks-shell-ge-philips-43-victim-ptc-windchill-zero-day-campaign.htm
- https://www.thenews.com.pk/latest/1412236-cl0p-hackers-claim-data-theft-from-shell-philips-ge
- https://www.thenews.com.pk/amp/1412236-cl0p-hackers-claim-data-theft-from-shell-philips-ge
- https://tech-insider.org/clop-ransomware-ptc-windchill-cve-2026-12569/
- https://nvd.nist.gov/vuln/detail/CVE-2026-12569
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-12569
- https://www.helpnetsecurity.com/2026/06/29/ptc-windchill-cve-2026-12569-exploited/
- https://www.bleepingcomputer.com/news/security/shell-investigates-potential-incident-after-clop-data-theft-claims/
- https://www.bleepingcomputer.com/news/security/clop-ransomware-targets-windchill-flexplm-in-data-theft-attacks/