Les sociétés General Electric (GE) et Philips ont commencé à enquêter sur les allégations du groupe de rançongiciel Clop, qui affirme avoir piraté leurs systèmes et leur avoir dérobé des données, dans le cadre d’une campagne plus vaste visant des organisations utilisant les plateformes PTC Windchill et PTC FlexPLM pour gérer le cycle de vie des produits.
Un porte-parole de GE a déclaré que l’entreprise était au courant de l’allégation et qu’elle travaillait à évaluer le problème potentiel. Philips a pour sa part confirmé que ses systèmes avaient été compromis, précisant que l’incident s’était limité à une tentative d’intrusion visant un serveur d’entreprise précis associé à des données internes, et qu’il avait été maîtrisé sans affecter les environnements des clients. Au moment de la publication de l’article, le 17 août 2026, aucune des deux entreprises n’avait fourni de détails supplémentaires ni répondu aux demandes de BleepingComputer visant à confirmer les allégations de Clop.
Des allégations s’inscrivant dans une campagne visant les plateformes de gestion des produits
Clop a ajouté les trois entreprises, GE, Philips et la compagnie pétrolière Shell, à une liste comprenant 43 nouvelles victimes sur son site de fuite de données. Selon les rapports, ces attaques auraient été menées en exploitant une vulnérabilité critique de validation des entrées, identifiée sous le numéro CVE-2026-12569, dans des versions de Windchill et de FlexPLM exposées sur Internet.
Clop affirme avoir volé sur les systèmes des entreprises un large éventail de données, notamment des sauvegardes, des plans de projets, des images d’installations, des dessins, des schémas et des spécifications techniques. Le groupe a également affirmé que Shell avait perdu 89 gigaoctets de données, mais les entreprises n’ont jusqu’à présent publié aucune information suffisante pour vérifier le volume ou la nature des données.
Shell avait auparavant confirmé être au courant d’un incident potentiel et travailler avec ses équipes de sécurité et les experts concernés afin de l’examiner.
Pourquoi cette évolution est-elle importante pour les clients de PTC ?
L’importance de l’incident tient à l’ampleur de l’utilisation des deux plateformes : PTC affirme que ses produits sont utilisés par plus de 30 000 clients dans le monde, dont plus de 1 500 entreprises de marques et de vente au détail via FlexPLM. Les secteurs potentiellement touchés comprennent l’aéronautique et la défense, l’automobile, les machines lourdes, la vente au détail et les technologies médicales, ce qui confère aux données stockées dans ces systèmes une grande valeur opérationnelle et technique.
PTC a commencé à publier des correctifs pour la vulnérabilité le 17 juin et a invité ses clients à examiner leurs environnements à la recherche d’indicateurs de compromission dans le cadre d’une directive spécifique, bien qu’aucune confirmation de son exploitation effective n’existât alors. Cependant, ReliaQuest et le centre de partage d’informations sur les rançongiciels Ransom-ISAC ont ensuite confirmé des attaques de Clop contre Windchill et FlexPLM, comprenant le déploiement d’outils de contrôle de type JSP webshell pour voler des données sensibles.
Réponse des autorités de sécurité
L’Agence américaine de cybersécurité et de sécurité des infrastructures CISA a confirmé que la vulnérabilité était activement exploitée. Après que PTC eut averti d’une hausse de l’activité malveillante le 26 juin, l’agence l’a ajoutée à son catalogue des vulnérabilités exploitées connues et a imposé aux agences fédérales de sécuriser les instances de Windchill et de FlexPLM dans un délai de trois jours. L’Office fédéral allemand de la sécurité des technologies de l’information BSI a également averti les clients du danger et les a invités à installer les correctifs dans les meilleurs délais.
Cette campagne s’inscrit dans un schéma récurrent de Clop visant les plateformes d’entreprise et le vol de données, après des campagnes précédentes ayant touché Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U FTP, Cleo et MOVEit Transfer, la campagne MOVEit ayant affecté plus de 2 770 organisations dans le monde. Depuis le début du mois d’août 2025, le groupe exploite également une vulnérabilité zero-day non divulguée dans Oracle EBS, tandis que le département d’État américain offre une récompense de 10 millions de dollars à toute personne fournissant des informations reliant les attaques du groupe à un gouvernement étranger.