最近の脆弱性 › CVE-2026-12569
PTC Windchill and FlexPLM の安全でないデシリアライズの脆弱性（CVE-2026-12569）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-12569 |
|---|---|
| 製品 | PTC Windchill and FlexPLM |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2026-06-25 |
| 米国政府機関の対応期限 | 2026-06-28 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-20, CWE-502 |
何が起きた
製品の設計データを管理するソフト PTC Windchill PDMLink と PTC FlexPLM に、信頼できないデータを復元する処理（デシリアライズ）の弱点が見つかり、実際に悪用が確認されています。ログインしていない攻撃者に、細工した要求を送られると、遠隔から任意のコードを実行されるおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
PTC Windchill と FlexPLM の、11.0 M030 から 13.1 系までの多くの版と、すべての CPS の版を使っている組織が影響を受けます。
何をすればいい
PTC のサポート記事 CS473270 に従って、使っている版のパッチ（SUP の 13.1.3 と 13.1.2、単体のパッチの 13.1.1 から 11.0 M030）を適用してください。PTC が預かって動かしている環境は、PTC が対処します。
やることチェックリスト
- WindchillとFlexPLMの版を確かめる
- CS473270に従ってパッチを当てる
- Windchillを外から使えないようにする
用語メモ
- Windchill
- 製品の設計図や部品の情報をまとめて管理する、PTC のソフトです。
- デシリアライズ
- 保存や送信のために変換したデータを、元のプログラムの形に戻す処理のことです。
元データ（英語・CISA KEV より）
PTC Windchill and FlexPLM Improper Input Validation Vulnerability
概要
PTC Windchill and FlexPLM contains an improper input validation vulnerability allowing an unauthenticated, remote attacker to execute arbitrary code by sending a malicious request to the network.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.