インターネットに公開されたPTC製品を狙う「Cl0p」関連グループ――認証を迂回する脆弱性チェーンで機密データを狙う二重恐喝攻撃が活発化

要点

• ランサムウェア「Cl0p」の関連グループが、インターネット公開されたPTC社の製品管理ソフト「Windchill」および「FlexPLM」の脆弱性を狙った攻撃を展開している。

• 攻撃者は、事前認証不要の情報開示とサーバー側の欠陥を組み合わせる「脆弱性チェーン」の手口により、認証なしでの遠隔操作（リモートコード実行）を可能にする。

• 侵入後はシステムを調査し、設計データなどの重要情報を収集した上で、データを公開すると脅す「二重恐喝」を行う。

• 悪用されているとみられる脆弱性「CVE-2026-12569」は、すでに米CISAが実環境での悪用を確認し、注意を促しているものである。

• 侵害された組織内では、他人の侵害済みアカウントからばらまかれた大量の脅迫メールが観測されている。

• 2026年7月25日、世界的なランサムウェア（データを人質に金銭を要求する不正プログラム）キャンペーンを展開する「Cl0p」の関連グループが、インターネットに公開されたPTC社製のソフトウェア「Windchill」および「FlexPLM」を標的にしていることが判明した。これは、セキュリティ機関であるRansom-ISACがeCrime.chおよびDEFUSEDと共同で公開したアドバイザリにより明らかになったものである。製造業、自動車、宇宙航空、小売といった重要セクターの企業を狙い、設計データを盗み出して金銭を要求する二重恐喝攻撃が活発化している。

2つのセキュリティ欠陥を悪用する「脆弱性チェーン」

今回確認された攻撃は、単一の不具合を突くだけでなく、2つのセキュリティ欠陥を組み合わせる「脆弱性チェーン」という手法が用いられている。
まず、攻撃者はFlexPLMのWSDL（Webサービスの仕様や機能を記述する言語）エンドポイントに存在する、事前認証なしで情報が漏洩してしまう脆弱性を突く。これをさらに、Windchillのログインサーブレット（Webサーバー上で動作するJavaプログラム）のサーバー側にある欠陥と連結させる。
この結果、本来必要なログイン認証を経ることなく、システム内で任意のプログラムを遠隔から命令できる「リモートコード実行（RCE）」の状態が作り出されるという。

侵入に成功した攻撃者は、Windchillのログイン用フォルダ（/Windchill/login/）の直下に、16進数のファイル名を持つJSPウェブシェル（Web経由でサーバーを遠隔操作するための不正なJavaプログラム）を設置する。これにより、組織のネットワークへの接続経路を完全に掌握されることになる。

機密設計データの窃取と二重恐喝

システム内への最初の足がかり（初期侵入）を得た攻撃者は、速やかにファイルシステムの全容を調査する。その後、製品開発に深く関わるエンジニアリングデータや設計データといった、組織にとって非常に価値の高い機密情報を特定する。
収集されたデータはシステム内の特定領域に集約（ステージング）されたのち、外部のサーバーへと送信されて窃取される。
攻撃者はその後、窃取した機密データを人質にする「二重恐喝」を試みる。二重恐喝とは、被害組織のデータを暗号化して使えなくするだけでなく、要求された金銭（身代金）を支払わなければその機密データをネット上に公開すると二重に脅しをかける、近年のランサムウェア攻撃における常套手段である。

米政府も警告する深刻な脆弱性「CVE-2026-12569」

攻撃で悪用されていると強く疑われているのが、PTC Windchillにおける重大な脆弱性「CVE-2026-12569」である。この脆弱性は、セキュリティ危険度の基準となるCVSSスコアで「9.3」（最高10）という極めて深刻な値がつけられている。
この脆弱性は、2026年6月末に米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が管理する「実際に悪用が確認された脆弱性（KEV）」のカタログに追加されたばかりで、早急な対策が必要とされていた。

開発元のPTC社もすでに顧客向けのアドバイザリを公開しており、「脅威活動の活発化に関する報告を継続して受けている」と警戒を強めている。同社は正体不明の攻撃者がこの脆弱性を突いてJSPウェブシェルをシステムに送り込んでいることを認め、速やかなアップデートを呼びかけている。
研究者のBrandon Parsons氏、Corsin Camichel氏、Simo Kohonen氏らによると、このWindchillの脆弱性に加え、FlexPLMのWSDLエンドポイントにおける事前認証なしの情報開示不具合（CVSS v3.1スコア：7.5）が実際に組み合わされて悪用されている状況だという。

組織全体に届く不審な脅迫メール

攻撃グループによる恐喝の手法も巧妙である。被害組織のユーザーに対して送信される脅迫メールは、過去に別の攻撃などで乗っ取られた無関係な第三者のアカウントから送出されていると分析されている。
このメールは、組織内の少数の担当者だけでなく、数百人におよぶ広範な従業員に向けて一斉にばらまかれている。メールの本文には、機密データを盗み出した旨の宣告に加え、Cl0pランサムウェアグループに連絡するための具体的な手段や方法が記されている。

Ransom-ISACは、今回の攻撃キャンペーンで攻撃者が使用した通信元として、以下の4つのIPアドレスを侵害指標（IoC：サイバー攻撃の痕跡を示す情報）として公開した。

• 216.152.148.54
• 216.152.151.204
• 104.243.35.63
• 5.180.41.35
  これらのIPアドレスはPTC社が公表している不審な通信元情報と完全に合致しており、ファイアウォールなどのセキュリティ設定での遮断が急務となる。

また、セキュリティ企業ReliaQuestもX（旧Twitter）への投稿で、CVE-2026-12569が現在進行形で悪用され、遠隔からのコマンド実行や製品データの持ち出しに繋がっていることを確認したと報告した。攻撃の実行犯について現時点では未確定としながらも、今回確認された攻撃の手法やプロセスは、これまでのCl0pキャンペーンで用いられてきたエンタープライズアプリケーションや価値の高いデータリポジトリを標的とする手口と一致していると警告している。

エンタープライズ製品を執拗に狙うCl0pの歴史

Cl0pは、これまでにも広く普及している大企業向けのシステム製品に狙いを定め、侵入を試みてきた長い歴史を持つ。
過去の攻撃キャンペーンでは、Accellion FTAやGoAnywhere MFT、SolarWinds Serv-U FTP、Cleo、そして多くの組織で深刻なデータ流出を引き起こしたMOVEit Transferといったファイル転送アプライアンス（大容量のファイルを送受信するための専用サーバー）のセキュリティ上の弱点を突き、大規模な恐喝を行ってきた。さらには、企業の基幹システムであるOracle E-Business Suiteの脆弱性も標的となった。
今回のPTC WindchillやFlexPLMへの攻撃も、こうした重要データが集約されるエンタープライズソフトを標的とする、Cl0pのこれまでの活動の延長線上にあるものと捉えられている。