Cl0pランサムウェアのアフィリエイトが、PTC WindchillおよびFlexPLMに存在する重大なゼロデイ脆弱性(CVE-2026-12569)を悪用し、認証を経ずにリモートコード実行を行った上でJSP製のWebシェルを設置し、二重恐喝を目的として機密性の高いエンジニアリングデータを窃取していることが明らかになりました。
ISACの報告によると、この攻撃キャンペーンはインターネットに公開されたPLM環境を標的としており、製造業、自動車、航空宇宙、小売・アパレルなど幅広い業種に及びます。攻撃はFlexPLMのWSDL情報漏えいの不具合を起点とする連鎖的なエクスプロイトを利用しています。
今回追跡されているのは、Cl0p(別名Graceful Spider、Chubby Scorpius、FIN11、Lace Tempest)のアフィリエイトが、事前認証不要のFlexPLM WSDL情報漏えいの欠陥と、Windchillのログインサーブレットに存在する重大な問題を組み合わせて武器化する、協調的なキャンペーンです。
この連鎖攻撃により、公開されているPTC WindchillおよびFlexPLMのインスタンスに対して認証なしのリモートコード実行が可能になります。攻撃者は、複雑なエンジニアリングやサプライチェーン環境で使われる価値の高いPLM導入環境を重点的に狙っています。
この連鎖攻撃が成功すると、攻撃者は/Windchill/login/パス配下に16進数名のJSP製Webシェルを設置します。ファイル名は通常[0-9a-f]{16}.jspという命名パターンに一致し、永続的な対話型アクセスを確立するために使われます。
侵害後の活動としては、flst.txtファイルによるファイルシステム一覧の作成を通じたエンジニアリング・設計リポジトリの列挙、そしてこれらのステージング、そして大規模なデータ窃取の準備が確認されています。
CVE-2026-12569は、PTC Windchill PDMlinkおよびPTC FlexPLMに存在する重大なリモートコード実行の脆弱性で、Web公開されているコンポーネントにおいて信頼できないデータを安全でない形で逆シリアル化していることに起因します。
この脆弱性のCVSS v3.1スコアは9.8で、リモートの未認証の攻撃者が、ネットワーク経由でアクセス可能なPLMエンドポイントに対して細工したリクエストを送ることで、任意のコードを実行できてしまいます。
PTCによると、この脆弱性はWindchillおよびFlexPLMの11.0 M030より前のリリースに影響するとのことで、同社はすでに修正済みのビルドと、必要なパッチ適用および設定変更に関するガイダンスを公開しています。
2026年6月25日、CISAはCVE-2026-12569を既知の悪用済み脆弱性(KEV)カタログに追加し、米連邦文民機関に対して迅速な対応を義務付けました。これは実際の悪用が確認されていることを裏付けるものです。
確認された事例では、Cl0pのアフィリエイトはまず、インターネットに公開されたPLMサーバーに対してGET /Windchill/rfa/jsp/login/*.jsp?wsdlのようなリクエストを用いて偵察を行い、特定のレスポンスサイズ(例えば約4045バイトなど)を手がかりに脆弱なエンドポイントを特定します。
続いて、FlexPLMのWSDL情報漏えいを悪用して設定情報やエンドポイントの詳細を収集し、それをWindchillのログインサーブレットのエクスプロイトに利用してRCEを獲得し、JSPペイロードを設置します。
この悪意ある通信では、特徴的なHTTPヘッダーX-windchill-req: ?x8Fmgowが確認されており、防御側はこれをWebサーバーやリバースプロキシのログにおけるハンティングおよび検知の手がかりとして活用できます。
Webシェルの設置後、攻撃者はflst.txtへのファイル一覧出力を実行し、CAD・PLM・設計関連のリポジトリを探索した上で、機密性の高いプロジェクトデータのアーカイブを作成し、その後のデータ窃取と恐喝に備えています。
2026年7月20日前後から、Cl0pはこのキャンペーンに関連する専用の恐喝活動を開始し、「Windchill PDMLink module serious data leak」という件名のメールを、被害組織内部の大規模な配信リストに送りつけています。
メールでは、PTC Windchill環境が侵害されたと主張し、進行中のデータ窃取をこのPLMプラットフォームに帰属させた上で、被害者をCl0pの更新済みの連絡窓口へと誘導しています。これは同グループが以前展開したOracle EBSを題材とした圧力キャンペーンと手口は似ていますが、メールインフラは新しいものに変わっています。
脅威アクターは、無作為に侵害したメールアカウントを悪用してこれらのメッセージを大量送信しているとみられ、組織内の数百人ものユーザーに一斉に侵害の主張を拡散することで、心理的な圧力を最大化しているようです。
Cl0pは7月22日時点では、このWindchillキャンペーンに関連する被害組織を自らのデータ漏えいサイトにまだ掲載していませんが、Ransom-ISACおよびそのパートナーは、交渉の期限が切れた後に、被害組織の掲載や公開での主張が行われる可能性があると評価しています。
最新のアドバイザリでは、今回のWindchill/FlexPLM関連の活動に関連付けられる、Cl0pが管理する新たな4件のIPアドレス(216.152.148.54、216.152.151.204、104.243.35.63、5.180.41.35)が追加されました。このうち5.180.41.35は、C2およびステージング活動が確認されていることから、優先的にブロックすべき対象として指摘されています。
これらの侵害指標は、2026年6月下旬から7月上旬にかけて共有済みのIOC(JSP製Webシェルのパス、特徴的なHTTPヘッダー、SHA-256の55a1eb4c2d3da04376df39d7ba832569c6af1a37a0cf2b95f754ac898023a30cといったハッシュベースの識別情報を含む)を補完するものです。
Ransom-ISACは、防御側に対し、これらの指標を起点にファイアウォール・プロキシ・エンドポイントのテレメトリを横断的に調査し、6月上旬にまでさかのぼる過去の活動を洗い出すよう推奨しています。
特に防御側は、PLMホストから前述のIPアドレスへの送信通信を精査するとともに、Webサーバーのログにおいて/Windchill/login/[0-9a-f]{16}.jspパスへのアクセスがないか調査すべきです。
また、組織はCISAのKEVガイダンスに従い、インターネットに公開されているPLMシステムを優先的に対処するとともに、/Windchill/login/配下に不正なJSPファイルが存在しないことを確認し、発見されたWebシェルがあれば削除すべきです。
ANY.RUNを使ってSOC調査の死角をなくし、脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/cl0p-exploits-ptc-windchill-zero-day/