Shell ha confermato il 14 agosto 2026 di indagare su un "potential incident" dopo che il gruppo ransomware Cl0p ha rivendicato il furto di 89GB di dati tecnici, inclusi disegni di ingegneria e progetti di impianti. La compromissione, secondo le rivendicazioni del gruppo, sfrutta CVE-2026-12569 in PTC Windchill e FlexPLM: una vulnerabilità che era stata zero-day nella campagna iniziale di giugno, quando Cl0p ne ha documentato l'exploitation prima della patch del 17 giugno.
I dati rivendicati da Cl0p non sono confermati indipendentemente. Shell non ha verificato l'effettiva sottrazione dei 89GB, limitandosi a confermare l'indagine con il supporto dei team di sicurezza.
- Shell indaga su un potenziale incidente; Cl0p rivendica 89GB di disegni di ingegneria, foto di impianti e report di test tecnici, ma i dati non sono confermati indipendentemente
- CVE-2026-12569 in PTC Windchill/FlexPLM registra CVSS 9.8 (v3.1) e 9.3 (v4.0); era zero-day nella campagna iniziale di giugno, patchata il 17 giugno
- CISA ha aggiunto la vulnerabilità al KEV catalog il 25 giugno 2026 con scadenza patching di 3 giorni per agenzie federali
- Cl0p ha elencato 43 organizzazioni come vittime; Ransom-ISAC valuta che l'exploitation zero-day sia iniziata nei primi giorni di giugno
Come funziona la catena di attacco Windchill
CVE-2026-12569 è classificata come improper input validation (CWE-20) concatenata con unsafe deserialization (CWE-502) nel componente WSDL endpoint di PTC Windchill PDMLink e FlexPLM. Il record NVD riporta punteggio CVSS 3.1 di 9.8, livello CRITICAL.
ReliaQuest ha documentato il post-exploitation: l'impianto si presenta come webshell JSP con nomi esadecimali posizionati sotto /Windchill/login/. Secondo l'analisi, il componente mappa i dati sensibili del vault e include un class loader Java personalizzato che permette l'esecuzione di codice arbitrario all'interno del processo applicativo.
L'enumerazione del filesystem avviene tramite file flst.txt; i dati stagingati vengono quindi esfiltrati. ReliaQuest ha rilevato tecniche di post-exploitation che non includono payload crittografico, riducendo la visibilità per i sistemi di rilevamento basati su comportamenti noti.
Dal disclosure all'exploitation di massa: cinque settimane
PTC ha rilasciato la patch il 17 giugno 2026. Ransom-ISAC valuta con alta confidenza che Cl0p abbia sfruttato CVE-2026-12569 come zero-day nei primi giorni di giugno. CISA ha aggiunto la vulnerabilità al KEV catalog il 25 giugno, imponendo alle agenzie federali una scadenza di patching di 3 giorni tramite Binding Operational Directive 26-04.
Il BSI tedesco ha contattato i clienti PTC nella notte del 17 giugno per segnalare l'urgenza. Secondo TechTimes, circa 80 istanze Windchill restavano esposte su internet al 20 luglio, in calo dalle circa 100 rilevate pre-advisory; l'80% di queste era ospitata negli Stati Uniti.
Il passaggio da disclosure a exploitation di massa è avvenuto in circa cinque settimane. La fonte non specifica se questo intervallo sia anomalo rispetto ai cicli di patching del settore manifatturiero.
Il target PLM e la logica operativa di Cl0p
Windchill e FlexPLM gestiscono disegni CAD, bill of materials, specifiche fornitori e documentazione di certificazione. PTC conta oltre 30.000 clienti globali per Windchill e FlexPLM, con oltre 1.500 brand e retailer nel segmento FlexPLM.
Brandon Parsons, threat intelligence manager di Ascent Solutions e contributor Ransom-ISAC, ha descritto la logica operativa del gruppo: "They don't really target a specific company, they target a specific zero-day vulnerability and go after it." La selezione delle vittime segue l'identificazione della vulnerabilità, non precede il targeting tecnico.
"[The web shell] maps sensitive vault data, decrypts every credential in the Windchill keystore, and includes a custom Java class loader that lets Clop execute any additional code inside the application process" ReliaQuest, via SecurityWeek
Le vittime confermate e il limite delle rivendicazioni
Oltre a Shell, Philips ha confermato di aver "identified and contained" un tentativo di compromissione su un server enterprise specifico contenente dati interni, senza impatto su ambienti clienti. Cl0p rivendica 13.5GB di dati da Philips, inclusi disegni PDF, diagrammi e blueprint. Fiserv ha dichiarato di non aver trovato evidenza di compromissione di dati cliente o bancari.
GE risulta elencata tra le vittime iniziali ma è stata successivamente rimossa dal sito di Cl0p; questa rimozione è indicativa di possibile pagamento o negoziazione, ma non costituisce prova. Il dossier non permette di stabilire se altre organizzazioni abbiano pagato o siano in trattativa.
Il numero di 43 organizzazioni elencate da Cl0p riflette le rivendicazioni del gruppo, non conferme forensi indipendenti. La fonte non specifica quante di queste abbiano subito effettivamente exfiltrazione di dati verificata.
Cosa fare adesso
Gli analisti di ReliaQuest hanno documentato indicatori di compromissione specifici alla campagna Windchill/FlexPLM. Le organizzazioni che utilizzano PTC Windchill dovrebbero verificare la presenza di webshell JSP con nomi esadecimali sotto /Windchill/login/ e del file flst.txt come artefatto di enumerazione.
ReliaQuest ha riportato che l'impianto analizzato include funzionalità di decrittazione delle credenziali nel keystore Windchill. La fonte non specifica procedure di remediation standardizzate per questa tecnica di post-exploitation.
Per le agenzie federali statunitensi, CISA ha imposto patching entro 3 giorni dalla entry KEV del 25 giugno 2026. La fonte non specifica scadenze equivalenti per il settore privato.
Le organizzazioni dovrebbero notare che i dati rivendicati da Cl0p — inclusi i 89GB attribuiti a Shell — non sono confermati indipendentemente e che Shell ha esplicitamente limitato la propria dichiarazione a un'indagine su "potential incident".
Chiusura editoriale
La campagna CVE-2026-12569 conferma che i sistemi PLM sono entrati nel mirino dei gruppi ransomware. La distinzione tra exploitation zero-day (giugno) e exploitation post-patch (agosto) è rilevante per la valutazione del rischio: la vulnerabilità era nota e patchata al momento dell'indagine Shell, ma la superficie di attacco residua — circa 80 istanze esposte a luglio — ha permesso la continuazione della campagna.
L'assenza di payload crittografico documentata da ReliaQuest non indica una strategia dichiarata di Cl0p, ma una tecnica di post-exploitation osservata. Il dato che resta è la centralità dei repository di progettazione industriale come target di intelligence economica, indipendentemente dalla conferma dei singoli claim di exfiltrazione.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.bleepingcomputer.com/news/security/shell-investigates-potential-incident-after-clop-data-theft-claims/
- https://tech-insider.org/clop-ransomware-ptc-windchill-cve-2026-12569/
- https://www.technadu.com/shell-and-philips-confirm-investigation-following-cl0p-data-theft-claims-targeting-nearly-50-companies-including-fiserv-and-ge/633182/
- https://www.securityweek.com/cl0p-ransomware-group-names-over-40-victims-of-ptc-windchill-campaign/
- https://www.techtimes.com/articles/324578/20260815/clop-hacks-shell-ge-philips-43-victim-ptc-windchill-zero-day-campaign.htm
- https://nvd.nist.gov/vuln/detail/CVE-2026-12569
- https://www.helpnetsecurity.com/2026/06/29/ptc-windchill-cve-2026-12569-exploited/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-12569