PTC Windchill/FlexPLMの未認証RCE CVE-2026-12569。デシリアライゼーション経由でJSP Webシェルを設置された初の実環境悪用

PTC WindchillとFlexPLMは、製造業が設計図面や部品構成、変更履歴といった工学データを一元管理するPLM(製品ライフサイクル管理)およびPDM(製品データ管理)の基盤です。工場や設計部門の中核データを扱うため、社内ネットワークの奥に置かれる想定のシステムですが、そのWindchill PDMlinkとFlexPLMに未認証のリモートコード実行を許す脆弱性CVE-2026-12569が見つかりました。CVSS v3.1の基本値は9.8、v4.0では9.3です。

この記事は、WindchillやFlexPLMを運用する製造業の情報システム担当に向けて、なぜ認証を経ずにコード実行まで到達してしまうのかを、NVDとPTCの公式アドバイザリ、CISAの情報をもとに整理します。あわせて、未修正インスタンスにJSP Webシェルが設置される攻撃が実際に観測され、Windchillの脆弱性としては初めて実環境での悪用が確認された経緯と、KEV収録を踏まえた初動を扱います。攻撃の再現手順やペイロードは示しません。脆弱性の検証は自組織が管理する環境に限って行います。

未認証のデシリアライゼーションがコード実行に転じる仕組み#

CVE-2026-12569は、Windchill PDMlinkとFlexPLMに存在します。NVDはこの脆弱性をCWE-502(信頼できないデータのデシリアライゼーション、Deserialization of Untrusted Data)とCWE-20(不適切な入力検証、Improper Input Validation)に分類しています。デシリアライゼーションは、バイト列として送られてきたデータをプログラムが扱えるオブジェクトへ復元する処理です。この復元の際に受け取ったデータの妥当性を十分に検証しないと、攻撃者が細工した入力がオブジェクトの生成や処理の過程を通じてサーバー側の想定外の動作を引き起こし、任意コードの実行につながります。

この脆弱性が重いのは、その入口に認証がかかっていない点です。攻撃者は正規の資格情報を持たなくても、ネットワーク経由で悪意あるリクエストを送るだけで復元処理に到達し、アプリケーションサーバー上でコードを実行できます。工学データを抱えるPLM基盤で任意コードが動けば、設計データの窃取から永続的な侵入経路の確保まで幅広い影響が及びます。

NVDはCVE-2026-12569を2026年6月17日に公開し、PTC Windchill PDMlinkとFlexPLMで信頼できないデータのデシリアライゼーションを通じて悪用され得る脆弱性として登録しています。分類はCWE-502とCWE-20です。影響は11.0 M030以前(同版を含む)を含む複数のリリース系列に及び、正確な該当版と修正版はPTC公式のアドバイザリで確認します。

信頼できないデータの復元がRCEへ転じる機構そのものと、開発側で取れる対策は、次の記事で整理しています。

あわせて読みたい

安全でないデシリアライゼーションの対策。信頼できないデータの復元が任意コード実行につながる仕組み

CVSS評価とベクトルの読み方#

CVSS v3.1の基本値はNVDの評価で、CVSS v4.0の基本値はCNAであるPTCの評価です(NVDはPTCのv4.0値を表示しています)。数値とベクトルは次のとおりです。

v3.1のベクトルは、攻撃がネットワーク経由(AV:N)で成立し、攻撃の複雑さが低く(AC:L)、必要な権限がなく(PR:N)、利用者の操作も不要(UI:N)で、機密性と完全性と可用性のいずれにも高い影響(C:H/I:H/A:H)が及ぶことを示します。認証も利用者の操作も要さず単独のリクエストで到達できるため、悪用の敷居が低い評価になっています。v4.0で9.3とやや下がるのは、評価軸の重み付けが更新されたことによるもので、深刻度が下がったことを意味するわけではありません。いずれの版でも最上位のCRITICALに位置づけられています。

NVDはCVE-2026-12569にCVSS v3.1で9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)を付与しています。CVSS v4.0の9.3はCNAであるPTCの評価で、NVDがそれを表示しています。いずれもCRITICALです。

KEVやEPSSと合わせてCVSSの数値をどう優先度づけに使うかは、次の記事で扱っています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

JSP Webシェル設置とWindchill初の実環境悪用#

PTCは2026年6月中旬以降、対象バージョンごとに段階的に修正策とパッチを提供していますが、その後も悪用は続きました。PTCは6月下旬に脅威活動の高まりを確認したと報告しており、攻撃者が未修正インスタンスにJSP Webシェルを設置する攻撃が観測されました。JSP Webシェルは、Webアプリケーションサーバー上に設置されるプログラムで、設置後は外部から任意のコマンド実行やファイル操作を継続できる侵入口として使われます。一度設置されるとパッチを当てただけでは残り続けるため、痕跡の調査が欠かせません。

侵害の目印として、PTCは/Windchill/login/配下に見慣れないJSPファイルが無いかの確認を促しています。観測された攻撃では、既知の例として16桁の16進文字列を名前とするJSPファイルが設置されていましたが、PTCはその後に別のパターンも追加しています。login配下に現れる見慣れないJSPファイルや不審なPOSTリクエストのログを広く調査対象にし、最新のIoCはPTC公式アドバイザリで確認します。正規の運用では生成されないJSPファイルは、侵害の強い兆候として扱います。SecurityWeekは、この事案をWindchillの脆弱性が実環境で悪用された初の事例と報じています。工学データを扱う内部システムが標的になったことは、PLM基盤が攻撃者にとって価値の高い対象になっている実態を示します。

The Hacker Newsは、パッチ公開後もPTCが脅威活動の高まりを確認し、攻撃者が未修正のWindchill/FlexPLMのlogin配下にJSP Webシェル(既知の例として16桁の16進名など)を設置していると報じました。悪意あるリクエストで任意コードを実行する不適切な入力検証の問題として説明されています。

境界に面した基幹システムが未認証の脆弱性で侵入口として狙われる構図は、他のERP製品でも起きています。Oracle PeopleSoftのゼロデイ事例は、次の記事で整理しています。

あわせて読みたい

Oracle PeopleSoftのゼロデイCVE-2026-35273。PeopleToolsの未認証RCEとShinyHuntersによる大学狙いの連続侵害

CISA KEV収録と是正期限#

CISAのKEV(Known Exploited Vulnerabilities)カタログは、実環境での悪用が確認された脆弱性を収録し、対応の優先度を判断する材料になります。CISAは2026年6月25日に本CVEをKEVカタログへ追加し、連邦民間行政機関(FCEB)に対して2026年6月28日までの是正を指示しました。追加から期限まで3日という短さは、悪用がすでに進行している状況への切迫した対応を反映したものです。

連邦機関向けの期限は民間組織を直接拘束するものではありませんが、KEVへの収録は、この脆弱性が「悪用され得る」段階を越えて「実際に悪用されている」段階にあることを公的に示します。パッチ公開直後から悪用が続き、KEVにも収録された脆弱性は、パッチ適用と侵害調査を最優先で進める対象です。

CISAは2026年6月25日にCVE-2026-12569をKnown Exploited Vulnerabilities(KEV)カタログへ追加し、連邦民間行政機関へ2026年6月28日までの是正を指示しました。

情報システム担当の初動#

未認証でコード実行の起点になり得る脆弱性で、かつ実環境での悪用が確認されている以上、パッチ適用と侵害調査を並行して進めます。次の順序で手を付けます。

脆弱性の検証は自組織が管理する環境に限って行い、他者のシステムへの無断のアクセスや検査は不正アクセス禁止法などの関連法令に触れるため行いません。悪用手順の詳細をここで示さないのも同じ理由からです。境界に面した製品のCVEやアドバイザリを継続的に追う仕組みは、こうした緊急事案への基本的な備えになります。

あわせて読みたい

Oracle E-Business SuiteのCVE-2026-46817。未認証で決済基盤を狙われる構図と初動

まとめ#

CVE-2026-12569は、製造業のPLM基盤であるPTC WindchillとFlexPLMが、認証の前段でコード実行まで狙われる危うさを示した脆弱性です。信頼できないデータのデシリアライゼーションが入口となり、未認証のリモート攻撃者が任意コードを実行できます。NVDの分類はCWE-502とCWE-20で、CVSSはNVDのv3.1評価が9.8、PTCのv4.0評価が9.3といずれもCRITICALです。PTCが2026年6月中旬以降に段階的なパッチ提供を進めた後も悪用は続き、login配下へJSP Webシェルを設置する攻撃が観測され、Windchillの脆弱性としては初めて実環境での悪用が確認されました。CISAは6月25日にKEVへ収録し、連邦機関に6月28日までの是正を指示しています。対応の要点は、PTCアドバイザリでの該当版確認とパッチ適用を最優先で進めつつ、露出していた期間があるインスタンスはJSP Webシェルの痕跡を調査し、必要に応じて資格情報のローテーションを進めることにあります。