PTC Windchillの脆弱性、ランサムウェア攻撃で悪用される

Cl0pランサムウェアの関連グループが、PTCの製品ライフサイクル管理(PLM)プラットフォームであるWindchillとFlexPLMに存在する深刻度クリティカルのリモートコード実行(RCE)脆弱性を悪用していることが確認されました。

CVE-2026-12569として追跡されているこの脆弱性(CVSSスコア9.3)は、認証なしで悪用可能な信頼できないデータのデシリアライゼーションに関する問題であると説明されています。

6月17日にパッチが適用されたこの脆弱性は、翌日には実際の攻撃での悪用が確認され、PTCが侵害の痕跡(IoC)を公開しました。6月末にはCISAのKEVカタログにも追加されています。

ReliaQuestとRansom-ISAC(eCrime.chおよびDefusedと共同)による最新の警告によると、現在この脆弱性はCl0pの関連グループによって実際の攻撃で悪用されているとのことです。

ReliaQuestは「この攻撃の背後にいる攻撃者は依然として特定されていません。しかし、確認された手口は、エンタープライズアプリケーションや高価値のデータリポジトリを標的とした過去のCl0pのキャンペーンと共通する特徴を持っています」と述べています。

Ransom-ISACの詳細な勧告によると、攻撃者は「FlexPLMのWSDLエンドポイントにおける認証前の情報漏洩」と「Windchillのログインサーブレットにおけるサーバーサイドの欠陥」を連鎖させることでRCEを実現し、JSP製のウェブシェルを展開しているとのことです。

初期アクセスの獲得後、攻撃者はファイルシステムの列挙、データのステージング、そして恐喝目的でのデータ窃取を行っていることが確認されています。

Ransom-ISACの勧告によると、7月20日以降、攻撃者は航空宇宙、自動車、製造業、小売・アパレルの各分野にわたる組織を標的にしているとのことです。

今回確認されたキャンペーンの一環として、脅威アクターは被害組織内の数百人のユーザーに対し、「Windchill PDMLinkモジュールの深刻なデータ漏洩」という件名の恐喝メールを送信しています。

Ransom-ISACは、「7月22日時点で、Cl0pランサムウェアはこの最新キャンペーンの被害者をダークウェブのデータリークサイトに掲載しておらず、また今回のキャンペーンについて公に犯行声明を出してもいません」と述べています。

各組織に対しては、PTCのパッチを適用するとともに、これまでに公開されているIoCおよび新たに共有されたIoCを用いて脅威ハンティングを実施することが推奨されています。また、PTCが示す対処手順にも従う必要があります。