ランサムウェアグループ Clop（Cl0p）がPTC Windchill・FlexPLMを標的にデータ窃取攻撃-CVE-2026-12569（CVSS 9.3）を悪用、製造業の製品設計データが狙われる|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月28日更新日時: 2026年07月28日

ランサムウェアグループのClop（Cl0p）が、インターネットに公開されたPTC WindchillおよびFlexPLMのインスタンスを標的とする新たなデータ窃取型の恐喝キャンペーンを展開していることが2026年7月23日、セキュリティ企業ReliaQuestの報告により明らかになりました。悪用されているのは、CVSS 9.3（Critical）の重大な脆弱性CVE-2026-12569です。安全でないデシリアライゼーション（信頼できないデータの逆シリアル化）に起因するもので、認証を必要とせずにリモートコード実行が可能となります。攻撃者はJSPウェブシェルを設置して遠隔からコマンドを実行し、機密性の高い製品データを窃取します。PTC Windchill・FlexPLMは製品ライフサイクル管理（PLM）システムであり、航空宇宙・防衛・自動車・重機械・小売・医療機器といった分野で広く利用されています。PTCの製品は世界で3万社以上に導入されており、被害の広がりが懸念されます。

サマリー

Clop（Cl0p）がPTC Windchill・FlexPLMを標的にしたデータ窃取型の恐喝キャンペーンを展開
悪用される脆弱性はCVE-2026-12569（CVSS 4.0で9.3・Critical）、CWE-20とCWE-502に該当
未認証でのリモートコード実行が可能、JSPウェブシェルの設置と製品データの持ち出しが確認されている
PTCは2026年6月17日から修正パッチの提供を開始、7月14日に全対象バージョン向けの提供が完了
CISAは6月25日にKEVカタログへ追加し、米連邦機関に3日以内の対処を命令
ドイツBSIは深夜に顧客へ電話・メールで緊急のパッチ適用を呼びかけた
恐喝メールの送信元として [email protected] が確認されている
ClopはこれまでMOVEit・Cleo・GoAnywhere・Oracle EBSなどを狙った大規模キャンペーンを実行してきた

項目	内容
CVE番号	CVE-2026-12569
深刻度	CVSS 4.0：9.3（Critical、PTC評価）
脆弱性の種類	不適切な入力検証（CWE-20）／信頼できないデータのデシリアライゼーション（CWE-502）
影響	未認証でのリモートコード実行（RCE）、JSPウェブシェル設置、データ窃取
対象製品	PTC Windchill PDMLink、PTC FlexPLM（全CPSバージョンを含む）
影響バージョン	Windchill：11.0 M030以前〜13.1.3.0／FlexPLM：11.0 M030以前〜13.0.3.0
CVE公開日	2026年6月17日
パッチ提供開始	2026年6月17日（順次）、7月14日に全対象版が提供完了
CISA KEV追加	2026年6月25日（連邦機関に3日以内の対処を命令）
攻撃主体	Clop（Cl0p）と推定（ReliaQuestは「未確定」としつつ手口の類似性を指摘）
恐喝メール送信元	[email protected]

CVE-2026-12569とは――デシリアライゼーションの不備で未認証RCEが成立

CVE-2026-12569は、PTCが2026年6月17日にCVEとして公開した重大な脆弱性です。NVDに登録された情報によれば、PTC Windchill PDMLinkおよびPTC FlexPLMにおいて、信頼できないデータのデシリアライゼーションを通じてリモートコード実行が可能になるというものです。PTC自身がCNA（CVE採番機関）としてCVSS 4.0で9.3（Critical）を割り当てています。

脆弱性の分類としてCWE-20（不適切な入力検証）とCWE-502（信頼できないデータのデシリアライゼーション）の両方が付与されています。Javaアプリケーションにおけるデシリアライゼーションの脆弱性は、攻撃者が細工したシリアライズ済みオブジェクトを送り込むことで、逆シリアル化の処理過程で任意のコードを実行させるという性質を持ちます。サーバーサイドエンジニアとしてJavaベースの業務システムに携わった経験から言えば、このクラスの脆弱性は認証の前段階で処理されるエンドポイントに存在すると特に危険であり、今回もまさに未認証での悪用が可能な構成となっています。

影響を受けるバージョンは広範です。Windchill PDMLinkでは11.0 M030以前のすべてのバージョンに加え、11.1 M020、11.2.1.0、12.0.2.0、12.1.2.0、13.0.2.0、13.1.0.0、13.1.1.0、13.1.2.0、13.1.3.0が対象です。FlexPLMも同様に11.0 M030以前のすべてと、11.1 M020、11.2.1.0、12.0.0.0、12.0.2.0、12.1.2.0、12.1.3.0、13.0.2.0、13.0.3.0が影響を受けます。PTCは全CPS（Customer Product Support）バージョンにも本アドバイザリが適用されると明記しています。

ReliaQuestが観測した攻撃の実態

セキュリティ企業ReliaQuestは2026年7月23日、CVE-2026-12569が実際に悪用されていることを観測したと報告しました。同社は、この脆弱性の悪用によって未認証でのリモートコード実行とJSPウェブシェルの設置が可能となり、遠隔でのコマンド実行と機密性の高い製品データの持ち出しが行われていると説明しています。

攻撃主体については、ReliaQuestは「攻撃の背後にいる主体は未確定」としながらも、観測された手口が企業向けアプリケーションと価値の高いデータリポジトリを標的としてきた過去のCl0pキャンペーンと特徴を共有していると指摘しています。

BleepingComputerによると、被害企業に対して [email protected] から恐喝メールが届き始めていることが確認されています。Clopは新たな恐喝キャンペーンを開始する前にメールアドレスを変更することを常套手段としており、今回もその流れに沿った動きとみられます。

PTC公式アドバイザリが公開したIOCと検知ルール

PTCは自社のTrust Centerで継続的にアドバイザリを更新しており、極めて具体的な侵害の痕跡（IOC）と検知ルールを公開しています。情報システム部門が自環境を点検する際の実務的な材料となるため、主要な内容を整理します。

まずネットワーク面のIOCとして、攻撃者のC2（コマンド&コントロール）サーバーとして 5.180.41.35 が特定されており、境界のファイアウォールで即時にブロックすることが推奨されています。このほか、6月18日から7月9日にかけて段階的に追加された悪性IPアドレスとして 216.152.148.54、172.111.38.31、104.243.35.131、74.50.76.146、209.222.98.44、104.243.35.0/24、185.227.83.236、104.194.9.14、78.128.113.10、38.60.157.212、216.152.151.204、104.243.35.63 が公表されています。

ウェブシェルの設置パスにも明確な特徴があります。攻撃者は16文字の小文字16進数を使ってウェブシェルを命名しており、既知のパスとして次のものが確認されています。

/Windchill/login/7c0a0a34c9d8d53b.jsp
/Windchill/login/46b158b8607a4c00.jsp
/Windchill/login/64652883d9de3299.jsp
/Windchill/login/56c9be44a436c4a2.jsp
/Windchill/login/4b57d0652345d383.jsp
/Windchill/login/ec6ba805a076e709.jsp

7月8日の更新では、6文字16進数のJSPファイル名パターンも新たに観測されたと報告されています。PTCは既知のリストに限らず、/Windchill/login/[0-9a-f]{16}.jsp へのPOSTリクエストをログから探索するよう促しています。正規のWindchillトラフィックはこのパスへPOSTを送信しないためです。

さらに特徴的なのが、攻撃者が使用するカスタムHTTPヘッダーです。X-windchill-req: ?x8Fmgow というヘッダーが使われ、先頭の1文字がコマンドセレクタとして機能します。PTCはこのヘッダーにWindchillにおける正当な用途は存在しないと明記しており、WAFやIDSでこのヘッダーを含むリクエストをブロックすることが有効です。

ファイル面では、疑わしいJSPファイルのSHA-256ハッシュ値として 55a1eb4c2d3da04376df39d7ba832569c6af1a37a0cf2b95f754ac898023a30c が公開されています。また、/tmp またはWindchillの作業ディレクトリに flst.txt が存在する場合、攻撃者によるファイル一覧取得の活動が行われたことを示す証拠になります。

PTCは検知ルールのサンプルも提示しています。

// SIEM / ログクエリ
method = "POST"
AND uri_path MATCHES "^/Windchill/login/[0-9a-f]{16}\.jsp$"

// WAF / IDS ヘッダールール
request.headers contains "X-windchill-req" → DROP + ALERT

// FlexPLM固有の事前偵察検知（ウェブシェル設置に先行するWSDLプローブ）
method = "GET"
AND uri_path MATCHES "^/Windchill/rfa/jsp/login/.*\.jsp\?wsdl$"
AND response_bytes = 4045

パッチ提供の経緯と各国当局の対応

PTCは2026年6月17日に修正手順の公開を開始し、その後バージョンごとに順次パッチをリリースしました。6月18日に12.1.2・12.0.2・13.0.2、6月19日に11.2.1・11.1 M020・11.0 M030・13.1.1が提供され、7月14日にSUP（Service Update Pack）13.1.3・13.1.2とCPSXBスタンドアロンパッチ13.1.1・13.0.2・12.1.2・12.0.2・11.2.1・11.1 M020・11.0 M030が提供されて全対象バージョンの提供が完了しています。

6月25日にPTCが「脅威活動の高まり」について顧客へ警告した後、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は同日、CVE-2026-12569をKEV（既知の悪用された脆弱性）カタログに追加し、米連邦機関に対して3日以内にPTC Windchill・FlexPLMインスタンスを保護するよう命じました。KEVの標準的な対応期限が3週間程度であることを踏まえると、3日という異例の短期間は当局が緊急性をきわめて高く評価していたことを示しています。

ドイツでも同様の緊急対応が取られました。ドイツの報道機関Heiseによると、連邦情報セキュリティ庁（BSI）はPTCの顧客に対して深夜にメールと電話で連絡を取り、可能な限り速やかにシステムへパッチを適用するよう警告したとのことです。政府機関が深夜に個別の企業へ電話をかけるという対応は、この脆弱性の危険度が国家レベルで認識されていたことを物語ります。

なお、Windchill・FlexPLMをめぐっては2026年3月にも類似の重大な脆弱性（CVE-2026-4681）について、悪用の可能性があるとしてドイツ当局が同様の緊急対応を取った経緯があります。

PLMシステムが狙われる理由――製造業の設計情報が集約されている

今回の攻撃の標的となったPTC WindchillとPTC FlexPLMは、製品ライフサイクル管理（PLM）と呼ばれるカテゴリーのエンタープライズソフトウェアです。製品の企画・設計段階から最終的な製造に至るまでの情報を追跡・管理するために使われます。

この2つのPLMシステムは、航空宇宙、防衛、自動車、重機械、小売、医療機器といった分野の著名企業において、エンジニアリング・製造・品質管理・サプライチェーンの各チームに広く導入されています。PTCによれば、同社製品は世界で3万社以上の顧客に利用されており、FlexPLMだけでも1,500社以上のブランド・小売顧客が利用しているとしています。

Clopがこうしたシステムを標的とする理由は明快です。PLMシステムには、製品の設計図面、部品表（BOM）、材料仕様、製造プロセス、サプライヤー情報、開発中の新製品に関する情報など、企業の競争力の中核をなす機密データが集約されています。これらは暗号化して業務を止めるまでもなく、外部への公開を示唆するだけで強力な脅迫材料となります。Clopが暗号化ではなくデータ窃取に特化した恐喝を展開しているのは、この点を熟知しているためです。

Clopの一貫した攻撃パターン――企業向けプラットフォームの一斉侵害

Clopは企業向けプラットフォームの脆弱性を悪用して大量の組織から一斉にデータを窃取するという手法を繰り返してきました。過去のキャンペーンには、Accellion FTA、Fortra GoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、そして2,770以上の組織に影響を与えたMOVEit Transferが含まれます。

直近ではOracle E-Business Suite（EBS）のゼロデイ脆弱性を悪用したキャンペーンを2025年8月上旬から展開し、ハーバード大学、ワシントンポスト、ペンシルバニア大学、Logitech、エスティローダー、大韓航空、アメリカン航空子会社のEnvoy Airなど多数の組織から機密ファイルを窃取しました。日本企業も無関係ではなく、キヤノンの米国子会社が影響を受けたことを認めたほか、マツダもリークサイトに掲載されています（マツダは実害なしと説明）。

Clopは窃取した文書をダークウェブ上のリークサイトで公開し、被害者が身代金の支払いを拒否した場合はTorrent経由でダウンロード可能な状態にします。米国務省は、このサイバー犯罪グループの攻撃と外国政府との関連を示す情報に対して1,000万ドルの報奨金を提示しています。

情報システム部門が取るべき対応

ReliaQuestとPTCが推奨する対応を整理すると、実務上の優先順位は次の通りです。

第一に、パッチの適用です。7月14日時点で全対象バージョン向けのパッチが提供されているため、未適用の環境は直ちに適用を計画する必要があります。

第二に、インターネット露出の遮断です。ReliaQuestは可能な限りWindchill・FlexPLMをVPNまたは信頼できるアクセスゲートウェイの背後に配置するよう推奨しています。PTCもWindchillのログインエンドポイントのインターネット露出を運用上可能な範囲で制限することを推奨しています。今回の攻撃はインターネットに公開されたインスタンスを標的としているため、この対策は本質的な防御になります。

第三に、侵害の有無の点検です。既にパッチを適用済みの環境であっても、パッチ提供前に侵害されていた可能性があります。前述のIOCを用いてHTTPアクセスログ、ファイルシステム、ネットワーク通信を点検してください。特に /Windchill/login/ 配下へのPOSTリクエストと、16進数のファイル名を持つJSPファイルの存在は決定的な証拠となります。

第四に、侵害が疑われる場合の対応です。ReliaQuestは、影響を受けたサーバーを隔離し、フォレンジック用の証跡を収集し、露出した可能性のある認証情報をすべてローテーションしたうえでサービスを復旧するよう勧告しています。ウェブシェルが設置されている場合、単にパッチを適用するだけでは攻撃者のアクセスは残存します。

PTCへの取材に対して、同社の広報担当者からBleepingComputerへのコメントは得られていないとのことです。