PTC WindchillのRCE脆弱性CVE-2026-12569が積極悪用、JSPウェブシェル展開を確認―CISAがKEV追加

「うちの工場でPTC Windchillを使っているが、この脆弱性は関係あるのか？」
「PLMソフトウェアでRCEって、具体的にどんな被害が起きるのか分からない……」

チップス

ボス、PTC WindchillにCVSS 9.3の脆弱性が出たって聞いたんでしゅけど、なんか製造業のシステムって聞いてピンとこなくて……。

ボス

軽く見るな。PTC Windchillは自動車・航空・電機など日本の大手製造業が広く使うPLMソフトだ。しかも今回は未認証でリモートからコードを実行できる。放置すれば製品設計データが丸ごと持ち出される可能性がある。

製造業のPLM（製品ライフサイクル管理）ソフトウェア「PTC Windchill」と「FlexPLM」に、CVSS 9.3の重大なRCE（リモートコード実行）脆弱性が発見された。
CISAは2026年6月25日にこの脆弱性（CVE-2026-12569）をKEV（既知悪用脆弱性）カタログに追加し、連邦機関に6月28日までのパッチ適用を義務付けた。
PTC製品がKEVに初登録される事態となった。

この記事では、CVE-2026-12569の技術的な仕組みと実際の攻撃手口、そして自社環境での確認・対処方法を解説する。
PTC製品を利用する製造業のセキュリティ担当者には、直ちに確認を進めていただきたい。

PTC Windchillの重大脆弱性CVE-2026-12569とは何か

今回の脆弱性は、PLMソフトウェアとしては異例の高危険度だ。

不適切な入力検証でリモートから任意コード実行が可能に

CVE-2026-12569は、PTC Windchill PDMLinkおよびFlexPLMにおける不適切な入力検証（Insecure Deserialization）に起因する脆弱性だ。
認証なしのリモート攻撃者が細工したリクエストを送信するだけで、サーバー上で任意のコードを実行できる。
CVSS v3スコアは9.3（Critical）で、製品本体への直接アクセス権がなくてもネットワーク経由で攻撃が成立する。

主な影響を受ける製品と対象バージョンは以下の通りだ。

チップス

PTCって日本でどのくらい使われてるんでしゅか？

ボス

自動車・航空機・精密機器・電機メーカーで広く使われている。設計データ・材料表・製造仕様が集まる基幹システムだ。ここが侵害されると、試作品の図面から部品調達先のデータまで根こそぎ持ち出されるリスクがある。

JSPウェブシェルを使った攻撃手口と侵害確認の方法

攻撃者の手口は単なる不正アクセスにとどまらず、長期間潜伏するための足場を築く。

16文字のランダム名JSPウェブシェルで持続的バックドアを設置

PTCが2026年6月18日に公開したIoC（侵害指標）によれば、攻撃者はRCEを悪用してJSPウェブシェルをサーバーに設置している。
侵害確認のポイントは以下の通りだ。

対処の手順は以下の通りだ。
PTCがパッチを2026年6月17日から提供しているため、まずパッチ適用を最優先にする。
次にアクセスログを精査して不審なJSPファイルの存在を確認し、発見した場合は削除のうえインシデント対応に移行する。

チップス

ウェブシェルが残っていたら、もうパッチを当てても意味ないんでしゅか？

ボス

パッチで新規侵入は防げる。だがウェブシェルは別物だ。既存のバックドアを使われ続ける。パッチ＋ウェブシェル除去＋認証情報リセット、この3セットで初めて対処完了だ。

まとめ：製造業PLMのセキュリティ対応を急げ

PTC Windchill CVE-2026-12569は、未認証RCEとJSPウェブシェルによる持続的バックドアという二重の深刻さを持つ脆弱性だ。
CVSS 9.3、CISAのKEV登録という事実が攻撃の確実性を証明している。
今すぐパッチを適用し、ログを精査してウェブシェルの有無を確認する。
日本の製造業にとって設計データは最重要資産だ。この脆弱性への対応を後回しにする理由はどこにもない。

チップス

うちの工場のWindchillバージョン確認してパッチ当てるよう上司に報告しましゅ！ログチェックもやってみましゅ！

ボス

ふふふ。報告と実作業を同時に進める。それが正しい判断だ。