注目★★★★★CISA KEV
PTC Windchill/FlexPLM に認証回避型 RCE、13.1.3.0 含む複数版が対象
30秒で把握
- 1PTC Windchill/FlexPLM の不正 Input Validation 脆弱性で認証なし RCE 可能。Windchill 13.1.3.0・FlexPLM 13.0.3.0 まで対象
- 2PLM システムは設計・製造データ集約地。未認証遠隔攻撃で製品知財全体が危殆化する可能性
- 3対象版の特定と現在地確認を急ぐ。パッチ公開まで外部接続制限・ネットワーク隔離を検討
要約
PTC Windchill PDMLink および FlexPLM に不正なInput Validation の脆弱性が存在し、認証なしの遠隔攻撃者が悪意ある要求を送信することで任意コード実行が可能となる。対象版は Windchill PDMLink 11.0 M030 から 13.1.3.0、FlexPLM 11.0 M030 から 13.0.3.0 の広範囲に及ぶ。これらは PLM (製品ライフサイクル管理) システムの中核コンポーネントであり、設計データ・製造情報が保存されている。
あなたへの影響
Windchill・FlexPLM を社内 PLM 基盤として運用するエンジニアリング組織は、現在のバージョンが対象範囲内か即座に確認し、対象版であれば今週中にベンダーパッチ情報を取得のうえ、セキュリティ更新スケジュールを立案すべき。
推奨：認証なし RCE であり外部からの直接侵害リスクが高いため、ネットワークセグメンテーションや WAF ルール強化も急ぐこと。