Cl0pランサムウェアがPTC Windchill・FlexPLMのCVE-2026-12569を悪用、製造・航空宇宙業界を標的にデータ窃取

「工場で使う製品管理ソフトもサイバー攻撃の標的になるの？」
「Cl0pって聞いたことあるでしゅ……前にも大事件を起こしてなかったでしゅか？」

チップス

ボス、Cl0pってまたやったんでしゅか？ 今度は工場向けのソフトが狙われたって聞きましたでしゅ。

ボス

そうだ。2026年7月、Cl0pのアフィリエイトがPTC社の製品ライフサイクル管理（PLM）システムに存在するCVSS 9.3の脆弱性を悪用し、世界中の製造業・航空宇宙・自動車企業からデータを盗み出した。

MOVEitの大規模攻撃で2,770以上の組織に被害を与えたCl0pが、今度は工場や製品開発の現場で使われるPLMシステムを標的にしました。
この記事では、CVE-2026-12569の内容と攻撃の仕組み、そして影響を受ける企業が取るべき行動を解説します。

PTCは2026年6月17日にパッチを公開済みですが、パッチ未適用のシステムは現在も攻撃対象になっています。

事件の概要：Cl0pがPLMシステムのゼロデイを悪用

PTC Windchill PDMlinkとPTC FlexPLMは、製造業・航空宇宙・自動車・小売業などで広く使われる製品ライフサイクル管理（PLM）システムです。
Windchillは世界で30,000以上の顧客、FlexPLMは1,500以上のブランド・小売顧客が利用しています。

チップス

PLMってどんなシステムでしゅか？

ボス

製品の設計図から製造工程、部品表、品質記録まで一元管理するシステムだ。自動車なら何万点もの部品情報が入っている。設計データが盗まれれば知的財産が丸ごと流出する。

Cl0pのアフィリエイトは2026年6月初旬、CVE-2026-12569をゼロデイとして悪用し始めました。
PTCがパッチを公開した6月17日より前から攻撃が始まっており、7月25日時点では複数の組織で侵害が確認されています。

CISAはこの脆弱性を「Known Exploited Vulnerabilities（KEV）」カタログに追加し、連邦機関に3日以内のパッチ適用を命令しました。
Cl0pの特徴である「盗んだデータをTorrent等で大規模公開する」戦術も今回の攻撃で確認されています。

脆弱性の仕組みと影響：認証不要のRCEがなぜ危険か

CVE-2026-12569の根本原因は、PLMシステムのWeb公開コンポーネントにおける「安全でない逆シリアル化」です。
入力データを適切に検証しないため、細工されたデータを送りつけるだけで任意コードを実行できます。

チップス

逆シリアル化ってよくわからないでしゅ……。

ボス

データをネットワーク越しに送受信するとき、一度「文字列」に変換（シリアル化）してから元のデータ形式に戻す（逆シリアル化）処理が行われる。この「戻す」処理で悪意あるコードを忍び込ませるのが攻撃手法だ。

Cl0pの攻撃では、CVE-2026-12569単体でなく、FlexPLM WSDLエンドポイントの情報開示脆弱性（CVSS 7.5）と組み合わせる手口が確認されています。チェーン攻撃の流れは次の通りです。

Cl0pの過去の攻撃（MOVEitでは2,770以上の組織、GoAnywhereでも数百組織）から見ると、このグループはファイル転送・コラボレーション系ソフトウェアの「ゼロデイを大量に使い捨てる」戦術を持っています。
PLMシステムへの攻撃は、知的財産を直接狙うという点でこれまでより被害の性質が深刻です。

まとめ：PLMのインターネット公開をやめるか、今すぐパッチを

PTC WindchillとFlexPLMのユーザーは、今すぐパッチ（2026年6月17日版以降）を適用する必要があります。
パッチ適用まで時間がかかる場合は、システムをインターネットから切り離してVPN経由のアクセスに限定することが次善策です。

チップス

侵害されているかどうか、どうすれば確認できるでしゅか？

ボス

/Windchill/login/ ディレクトリに16進数名の .jsp ファイルが存在しないか確認することだ。侵害が疑われるなら直ちにサーバを隔離し、認証情報をすべてリセットする。

対策のポイントをまとめます。

製造業の知的財産は競争力の源泉です。設計図や部品表が流出すれば、取り返しのつかない損失になります。Cl0pはMOVEit以来、パッチ公開直後でも多数の未更新システムを狙い続けてきた実績があります。