製造業のPLM「PTC Windchill／FlexPLM」に認証不要の遠隔コード実行（CVE-2026-12569）― 設計図の中枢が標的、CVSS 9.8
製造業の製品ライフサイクル管理(PLM)基盤 PTC Windchill／FlexPLM に、不正な入力検証(CWE-20/CWE-502)に起因する脆弱性。認証されていない遠隔の攻撃者が、細工したリクエストを送るだけで任意のコードを実行できる。NVD公式評価はCVSS 9.8（CRITICAL）。CISAは2026年6月25日にKEVへ追加し、是正期限を3日後の6月28日に設定した。
脆弱性の基本情報
- CVE番号CVE-2026-12569
- 対象（ベンダー／製品）PTC Windchill and FlexPLM
- CWECWE-20, CWE-502
- 悪用状況CISA KEV 掲載（実際の悪用を確認）／ランサムウェアでの悪用も確認
- 是正期限2026-06-28（米連邦民生機関・BOD 22-01）
要点
PLM（製品ライフサイクル管理）は、製品の設計データ・部品表(BOM)・仕様変更・サプライヤ情報といった「ものづくりの中枢情報」を一元管理するシステムだ。PTC Windchill は製造業で広く使われるその代表格で、FlexPLM は小売・アパレル向けの派生である。
この種のシステムには、企業の競争力の源泉である設計図・図面・製造ノウハウが集約されており、侵害されたときの被害は情報流出にとどまらず、製造計画そのものへの介入にまで及びうる。
本件の深刻さは条件の組み合わせにある。認証が不要（PR:N）で、利用者の操作も要らず（UI:N）、ネットワーク越しに（AV:N）任意コードを実行できる——攻撃者にとって最も都合のよい「認証前RCE」であり、NVDが9.8を付けた理由もここにある。
根が不正な入力検証とデシリアライゼーション（外部データを内部オブジェクトへ復元する処理で、検証不足だと細工データ内のコードが動く型）にある点は、SharePointの事例（CVE-2026-45659）とも通じる、サーバ製品で繰り返される致命的パターンだ。
製造業のPLMは、社内深部に置かれ、取引先とも接続され、稼働を止めにくい——通話基盤(Cisco Unified CM)と同様に「攻撃者が長居しやすい」性質を持つ。KEVへの追加（実悪用の確認）と3日という是正期限（BOD 26-04の最優先級）は、この中枢システムが実際に狙われていることを示す。
対応はPTCのアドバイザリに沿った修正版適用が基本で、外部からの到達可能性の点検、およびサプライチェーン全体（同じPLMを使う取引先）への波及の確認まで視野に入れたい。
なぜ重要か
設計・製造の中枢が認証不要で乗っ取られうる脆弱性は、知的財産の流出とサプライチェーン全体への波及に直結する。製造業・PLM運用組織は修正版適用と外部到達性の遮断が要点。SharePoint（デシリアライゼーション）と並ぶ「サーバ製品の認証前RCE」の実例として、コアシステムの外部公開を見直す契機になる。
よくある質問（FAQ）
PLM（Windchill）とは何ですか。
なぜ「認証前RCE」は特に危険なのですか。
何をすべきですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。