Trusted Design

CVE-2026-12569 の詳細

CVEの情報

説明:
A critical remote code execution (RCE) vulnerability has been reported in PTC Windchill PDMlink and PTC FlexPLM. The vulnerability may be exploited through the deserialization of untrusted data.  * This advisory also applies to all CPS versions * The identified vulnerability also impacts Windchill and FlexPLM releases prior to 11.0 M030

CVE更新日: 2026-06-18 01:18:12.040000

CVSSバージョン: 4.0

CVSSスコア: 9.3

KEVの情報

KEV更新日: 2026-06-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.012470000

EPSS更新日: 2026-07-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-12569に関する調査結果を以下に解説します。

CVE-2026-12569の解説

1. 脆弱性の概要

PTC社の製品であるWindchill、FlexPLM、およびCreo Parametric Server (CPS) に存在する、信頼できないデータのデシリアライゼーション（CWE-502）および不適切な入力検証（CWE-20）の脆弱性です。認証されていない攻撃者が特別に細工されたシリアル化オブジェクトを影響を受けるエンドポイントに送信することで、リモートで任意のコードを実行される可能性があります。

1.1 影響

この脆弱性が悪用されると、リモートコード実行 (RCE) が可能となり、PLMアプリケーションサーバーのコンテキストで任意のコードが実行されます。これにより、製品ライフサイクル管理 (PLM) システムが保有する知的財産、設計ファイル、サプライチェーンデータなどの機密情報が露呈したり、製造ラインが混乱したりする可能性があります。

1.2 深刻度

深刻度は「緊急」または「クリティカル」と評価されています。 * NVD (National Vulnerability Database) ではCVSS v3.1スコア9.8。 * CISA（サイバーセキュリティ・インフラセキュリティ庁）やその他の情報源ではCVSSスコア9.3またはCVSS v4スコア9.3と評価されています。 * CISAの既知の悪用されている脆弱性（KEV）カタログに、実際の悪用が確認されているため追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンではなく、以下のPTC製品のバージョンが影響を受けます。 * PTC Windchill: パッチが適用されたリリース以前のすべてのバージョンが影響を受けます。具体的には、11.0 M030、11.1 M020、11.2.1、12.0.2、12.1.2、13.0.2、13.1.1 以前のバージョンが含まれます。 * PTC FlexPLM: パッチが適用されたリリース以前のすべてのバージョンが影響を受けます。具体的には、11.0 M030、11.1 M020、11.2.1、12.0.2、12.1.2、13.0.2 以前のバージョンが含まれます。 * Creo Parametric Server (CPS): すべてのバージョンが影響を受けます。

2.2 影響を受ける設定

この脆弱性は、ユーザーが提供するデータの安全でないデシリアライゼーションによって発生します。 不適切な入力検証 (CWE-20) が根本原因であり、特別に細工されたシリアル化オブジェクトを影響を受けるエンドポイントに送信することで悪用されます。

3. 影響を受けた時の兆候

  • /Windchill/login/ ディレクトリ内に、16進数の16文字の命名規則（例: a3f9c1b7d4e2f850.jsp）を持つ永続的なJSPウェブシェルが展開されている。
  • /tmp またはWindchillの作業ディレクトリに flst.txt というファイルが存在する（攻撃者によるファイルリスト作成活動の兆候）。
  • HTTPアクセスログに /Windchill/login/*.jsp へのPOSTリクエストが見られる。
  • 既知の攻撃者IPアドレスからの通信: 172.111.38.31, 216.152.148.54, 104.243.35.131, 74.50.76.146, 5.180.41.35。
  • 既知のウェブシェルペイロードのSHA-256ハッシュ: 55a1eb4c2d3da04376df39d7ba832569c6af1a37a0cf2b95f754ac898023a30c。

4. 推奨対策

4.1 本対策

  • PTCがリリースしたパッチを直ちに適用してください。パッチは2026年6月17日から18日にかけてリリースされています。
  • 正確なバージョン範囲と特定の修正パッケージについては、PTCアドバイザリ CS473270 を参照してください。

4.2 暫定回避策（緩和策）

  • 既知の攻撃者IPアドレス（例: 5.180.41.35）を境界ファイアウォールで直ちにブロックしてください。
  • 運用上可能な場合は、Windchillログインエンドポイントのインターネットからの露出を制限してください。
  • X-windchill-req: ヘッダーを含むリクエストをブロックするWAF（Webアプリケーションファイアウォール）またはIDS（侵入検知システム）ルールを追加してください。

その他解説すべき観点

  • CISA KEVカタログへの追加と期限: CISAは2026年6月25日にこのCVEを既知の悪用されている脆弱性（KEV）カタログに追加し、連邦政府機関に対して2026年6月28日までに修正を完了するよう義務付けました。これは、積極的な悪用が確認された脆弱性に対する「拘束力のある運用指令（BOD）26-04」に基づくもので、通常3日間のパッチ適用期限が設けられます。
  • 積極的な悪用: 本脆弱性は実際に悪用されていることが確認されており、永続的なJSPウェブシェルの展開などが報告されています。防衛、航空宇宙、自動車、医療、エレクトロニクス、産業機械、消費財などの分野の組織は特に標的となる可能性が高く、機密性の高い知的財産や重要なワークフローを保護するために早急な対応が求められます。
  • パッチ適用後の対応: パッチを適用した後も、システムがすでに侵害されていないか確認するため、ログのレビュー、ファイルシステムのレビュー、およびパッチ適用後の検証（例: ウェブシェルの存在確認）を実施することが重要です。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る