כופרת Clop מוסיפה את Shell, GE ו-Philips לקורבנות פרצת PTC Windchill

קבוצת הכופרה Clop מוסיפה עשרות קורבנות חדשים לרשימת הסחיטה שלה, במסגרת קמפיין גניבת מידע שמנצל פגיעות קריטית בפלטפורמת ניהול מחזור החיים של מוצרים PTC Windchill ו-FlexPLM. בין הקורבנות שפורסמו בימים האחרונים: ענקית האנרגיה Shell, שמאשרת כי היא בודקת \"אירוע פוטנציאלי\", לצד General Electric ו-Philips. מדובר בגניבת קניין רוחני הנדסי רגיש — שרטוטים, תוכניות ומסמכי תשתית — ולא בהצפנת מערכות.

הפרטים

הפגיעות, CVE-2026-12569, מאפשרת הרצת קוד מרחוק ללא הזדהות במערכות Windchill PDMlink ו-FlexPLM החשופות לאינטרנט, באמצעות דה-סריאליזציה לא בטוחה של קלט. חומרת הפגיעות מדורגת כמעט במקסימום — 9.3 לפי מתודולוגיית CVSS 4.0, ו-9.8 לפי NVD בגרסת CVSS 3.1. לפי הדיווחים, Clop ניצלה אותה עוד לפני ש-PTC החלה לפרסם תיקונים ב-17 ביוני 2026, והשתילה כלי גישה מרחוק מסוג JSP webshell על שרתים שנפרצו כדי לשאוב מהם גיבויים, קבצי מערכת ושרטוטי הנדסה.

ב-26 ביוני הוסיפה CISA את הפגיעות לקטלוג ה-KEV ודרשה מסוכנויות פדרליות בארה\"ב לתקן תוך שלושה ימים בלבד — סימן לחומרת הניצול בשטח. כעת, כחודשיים אחר כך, Clop מפרסמת גל חדש של קורבנות באתר הדלף שלה: לפי הדיווחים מדובר בכ-43 ארגונים נוספים, בעיקר מתעשיות הייצור, הרכב, התעופה והקמעונאות. Shell מסרה כי היא בודקת טענה לגניבת כ-89 גיגה-בייט של נתונים, כולל שרטוטי הנדסה ותמונות מתקנים; החברה טרם אישרה פריצה בפועל.

נקודות לשים לב

אם אתם מפעילים Windchill PDMlink או FlexPLM — עדכנו מיידית לגרסה 11.0 M030 ומעלה (או לתיקון הרלוונטי מ-PTC), גם אם המערכת אינה חשופה ישירות לאינטרנט.
מכיוון שהניצול החל עוד לפני פרסום התיקון, עדכון בלבד אינו מספיק: בדקו את השרתים לאיתור JSP webshell-ים ופעילות חריגה בלוגים, גם אם המערכת כבר טולאה.
אם יש חשד לפגיעה — בודדו את השרת, שמרו ראיות פורנזיות, והחליפו את כל הסודות והאישורים שהיו נגישים ממנו לפני החזרתו לפעולה.
מומלץ להציב מערכות PLM מאחורי VPN או שער גישה מבוקר, ולא לחשוף אותן ישירות לרשת הציבורית.
זו מתקפת גניבת מידע לצורך סחיטה, לא כופרה קלאסית עם הצפנה — הודעת \"בדיקת אירוע\" מצד Shell אינה אישור לפריצה מוצלחת, וכדאי להמתין לעדכון רשמי לפני מסקנות.