PTCの「Windchill」「FlexPLM」に深刻な脆弱性「CVE-2026-12569」が判明、CISAが対策を強く要求

要点

• PTCの製品である「Windchill PDMlink」および「PTC FlexPLM」に、リモートコード実行が可能となる深刻な脆弱性（CVE-2026-12569）が確認されました。

• 本脆弱性は信頼できないデータのデシリアライズ処理に起因しており、PTCの自己評価によるCVSS 4.0スコアは「9.3（緊急）」となっています。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加し、迅速なパッチ適用や製品の使用中止を求めています。

• 影響範囲は広範に及び、両製品の古いバージョンだけでなく、すべてのCPSバージョンも対象に含まれます。

• PTCが提供する「PTC Windchill PDMlink」および「PTC FlexPLM」において、遠隔から任意のプログラムを実行される恐れがある深刻な脆弱性「CVE-2026-12569」が発見されたことが明らかになった。米サイバーセキュリティ・インフラセキュリティ庁（CISA：連邦政府機関や重要インフラのサイバーセキュリティを担う米政府機関）は、現地時間2026年6月25日に本脆弱性を「既知の悪用された脆弱性（KEV：実際にサイバー攻撃で悪用されていることが確認された脆弱性）」カタログに追加し、早急な対応を呼びかけている。本脆弱性は信頼できないデータのデシリアライズに起因しており、悪用されるとシステムが攻撃者によって完全に支配される危険性があるという。

脆弱性の背景と技術的要因

今回の脆弱性「CVE-2026-12569」は、PTC Windchill PDMlinkおよびPTC FlexPLMにおける、信頼できないデータのデシリアライズ処理に原因がある。デシリアライズとは、ネットワーク送信や保存のために変換されたデータを、プログラムがメモリ上で直接操作できる元のオブジェクトの形式に戻す処理のことである。この処理中に入力データの適切な検証が行われていないため、攻撃者が悪意あるデータを送り込むことで、標的のシステムで任意のプログラムを実行する「リモートコード実行（RCE：攻撃者が遠隔から対象のシステムを操作し、任意のプログラムを実行できる脆弱性）」を引き起こすことが可能になるという。

脆弱性の分類を示すCWE（Common Weakness Enumeration：ソフトウェアの脆弱性の種類を分類した体系）では、入力値の検証不備を示す「CWE-20（Improper Input Validation）」および、信頼できないデータの処理を指す「CWE-502（Deserialization of Untrusted Data）」に指定されている。

CVSSによる深刻度評価

本脆弱性は、その危険性の高さから各評価機関より最も高い警戒レベルである「CRITICAL（緊急）」と判定されている。CVSS（共通脆弱性評価システム）は、脆弱性の深刻度を評価する業界標準のフレームワークである。

製品の開発元であるPTC（CNA：脆弱性情報を付与する機関）によるCVSS 4.0を用いた評価では、基本値にあたる「CVSS-B」スコアが「9.3 CRITICAL（緊急）」と算出された。その評価ベクターは「AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/AU:Y/R:U/V:C/U:Red」であり、ネットワーク経由で容易に攻撃が可能であることを示している。なお、米国国立標準技術研究所（NIST）によるCVSS 4.0およびCVSS 2.0の評価は現時点でまだ提供されていない。

一方、NISTによるCVSS 3.xでの評価では、ベーススコアが「9.8 CRITICAL（緊急）」と判定されており、機密性、完全性、可用性のいずれにも最大級の影響を及ぼす恐れがあることが示されている。

影響を受けるソフトウェアとバージョン

本脆弱性は、PTC WindchillおよびPTC FlexPLMの多くのバージョンに影響する。アドバイザリによると、すべてのCPS（Critical Patch System/Set）バージョンが対象となるほか、バージョン「11.0 M030」より前の古いリリースも影響を受ける。

具体的に影響を受けることが確認されている構成は、CPE（Common Platform Enumeration：IT製品の識別子となる標準化された形式）によって以下のように特定されている。

「PTC FlexPLM」：

• バージョン 11.0m030 まで（これを含む）のすべてのリリース
• バージョン 11.1m020、11.2.1.0、12.0.0.0、12.0.2.0、12.1.3.0、13.0.2.0、13.0.3.0

「PTC Windchill PDMlink」：

• バージョン 11.0m030 未満（これを除く）のすべてのリリース
• バージョン 11.0m030、11.1m020、11.2.1.0、12.0.2.0、12.1.2.0、13.0.2.0、13.1.0.0、13.1.1.0、13.1.2.0、13.1.3.0

CISAによるKEVカタログへの追加と義務的措置

本脆弱性はすでに実際のサイバー攻撃において悪用されている事実が確認されており、米CISAは2026年6月25日にKEVカタログに追加した。これに伴い、CISAは管理者に対して、2026年6月28日までの短い期間内に対策を講じるよう義務付けている。

要求されている具体的なアクションは以下の通りである。

• ベンダー（PTC）の指示に従って速やかに緩和策を適用すること。
• 米政府の指令である「BOD 26-04（リスクに基づくセキュリティアップデートの優先順位付け）」およびCISAの「フォレンジック・トリアージ要件（Forensics Triage Requirements）」に準拠すること。
• クラウドサービスを使用している場合は、適用されるBOD 26-04のガイダンスに従うこと。
• ベンダーからの緩和策が利用できない場合は、対象製品の使用を中止すること。
• 各資産がインターネットにどの程度露出しているかを評価し、BOD 26-04のガイドラインを遵守する責任があること。

なお、CISA-ADP（CISAのデータパートナープログラム）は2026年6月30日に本脆弱性の登録内容を更新し、SSVC（ステークホルダー特有の脆弱性分類：特定の組織や状況に基づき脆弱性の対処優先度を分類する手法）などの情報の見直しを行ったとされている。

補足

PTCは本脆弱性に関するサポート記事（CS473270）を公開しているが、詳細情報の確認にはアクセス権限が必要である。影響のあるシステムを運用している組織は、速やかに公式情報を確認し、適切な対策を行う必要がある。