PTC WindchillとFlexPLMに深刻なRCE脆弱性
製品設計データを預かるPTC WindchillとFlexPLMに、外部から任意のコードを実行されるおそれのある深刻な脆弱性が公表されました。自社の版が対象か確認し、PTCの告知で修正版を入手するとともに、外部への公開範囲も見直してください。
急ぎ度: 早めに
CVSS v3は9.0、v4は9.2で、認証なしにネットワーク経由で悪用できる評価であり、公表が2026年11月11日と直後のため、修正版の有無を今日中に確認する段階です。
関係があるか
WindchillまたはFlexPLMを自社運用（オンプレミスや自社管理のクラウド）している製造業・小売業・アパレル業などが対象です。取引先や海外拠点に向けてネットワークへ公開している環境は、特に優先して確認してください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| PTC Windchill | 11.0 M030、11.1 M020、11.2.1.0、12.0.2.0、12.1.2.0、13.0.2.0、13.1.0.0、13.1.1.0、13.1.2.0、13.1.3.0、13.1.4.0 | 修正版の番号はPTCのサポート記事（CS483249）で確認してください |
| PTC FlexPLM | 11.0 M030、11.1 M020、11.2.1.0、12.0.2.0、12.1.2.0、13.0.2.0、13.1.0.0、13.1.1.0、13.1.2.0、13.1.3.0 | 修正版の番号はPTCのサポート記事（CS483249）で確認してください |
確かめ方
- 1WindchillまたはFlexPLMが社内のどのサーバーで動いているかを、構成管理台帳や情シスの資産一覧で洗い出します。部門が独自に立てた環境や、子会社・取引先と共用の環境も含めます。
- 2各環境の版を確認し、上の対象の版と照らします。Windchillのシェルで版を表示できます。
- 3Windchillのサーバーが、インターネットや取引先のネットワークから到達できる状態かを、ファイアウォールやリバースプロキシの設定で確認します。
何が起きたか
PTCのWindchillとFlexPLMに、外部から送り込まれた細工済みのデータによって、サーバー上で任意のコードを実行されるおそれのある脆弱性が見つかりました。2026年11月11日に公表されています。
原因は、信頼できない入力データを元のオブジェクトに復元する処理（デシリアライズ）の扱いです。分類はCWE-502（信頼できないデータのデシリアライゼーション）とCWE-20（不適切な入力検証）の2つが付いています。
PTCは両製品の広い範囲の版を影響ありとしています。Windchillは11.0 M030から13.1.4.0まで、FlexPLMは11.0 M030から13.1.3.0までです。
攻撃の流れ
-
1
到達できる
対象製品のサーバーにネットワーク経由で接続できる位置にいる攻撃者が対象になります。
-
2
細工データ送信
信頼できない入力として、復元処理に細工したデータが渡されます。
-
3
コード実行
復元の過程でサーバー上のプロセスの権限により、意図しないコードが動きます。
-
4
設計情報へ波及
製品データの閲覧・改ざんや、同じネットワーク内への侵入の足がかりにされるおそれがあります。
どう悪用されるか
認証は不要で、利用者の操作も必要ありません。ネットワーク経由で対象サーバーに到達できれば悪用が成り立つと評価されています。攻撃の難易度（AC）は高と評価されているため、条件がそろわなければ成功しにくいと見られますが、攻撃が成り立ったときの影響は小さくありません。
悪用されると、機密性・完全性・可用性のすべてに大きな影響が出ます。具体的には、設計データやBOM（部品表）の漏えい、データの書き換え、システムの停止が考えられます。また、攻撃対象がこのサーバーにとどまらず、周辺のシステムにも及ぶ評価（スコープの変更あり）が付いています。
今すぐやること
-
1
対象の版かどうかを確認する
WindchillとFlexPLMの稼働環境をすべて洗い出し、版が影響範囲に入っていないか照合します。開発・検証用の環境も忘れずに見ます。
windchill version -
2
PTCの告知で修正版と回避策を確認する
PTCのサポート記事（CS483249）に、修正版の番号と提供状況が載っています。版ごとに入手先と適用手順が異なる可能性があるため、自社の版に合うものを選びます。修正版の提供が始まっていない版があれば、PTCに問い合わせてください。
-
3
修正版を適用する
修正版が出ている版は、検証環境で動作を確認したうえで、できるだけ早く本番へ適用します。インターネットに公開している環境を先に処理します。
-
4
外部からの到達経路を絞る
適用までの間は、利用者と取引先のIPアドレスを限定するなど、サーバーへ接続できる範囲を狭めます。
-
5
不審な動きがないか調べる
公表直後のため侵害の可能性は低めと考えられますが、サーバーのログで、見覚えのないプロセスの起動、設定やファイルの不審な変更、外部への大きな通信がないかを見ておきます。
修正版がないあいだのつなぎ
PTC公式の回避策は、告知の本文を確認できていないため案内できません。修正版を当てるまでのつなぎとして、ファイアウォールやVPNで、Windchill・FlexPLMへ接続できる送信元を必要最小限に絞ってください。あわせて、サーバーのログと外向きの通信を、普段より注意して監視しておくと、異常に早く気づけます。
背景
Windchillは、製品の設計図面・部品表・変更履歴をまとめて管理するPLM（製品ライフサイクル管理）の基盤です。設計部門だけでなく、調達や製造、取引先との共有にもつながるため、置かれているサーバーには製品開発の重要な情報が集まります。FlexPLMは同じPTCの製品で、アパレルや小売の商品企画・仕様管理に使われます。
デシリアライズの処理に起因する脆弱性は、Javaで作られた業務システムで、任意のコード実行につながりやすい種類として知られてきました。入力として受け取ったデータを、検証が不十分なままオブジェクトへ戻すと、攻撃者が用意した内容がそのまま処理されてしまうためです。今回も、認証なしにネットワークから到達できる評価が付いているため、設計情報を預かるサーバーが外部に近い位置にあるかどうかが、危険度を大きく左右すると筆者は見ています。
よくある質問
Q.WindchillではなくFlexPLMだけを使っていても対象ですか。
Q.社内では使っていませんが、取引先が運用しているWindchillに設計データを預けています。何をすればよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A critical remote code execution (RCE) vulnerability has been reported in PTC Windchill and PTC FlexPLM. The vulnerability may be exploited through the deserialization of untrusted data.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web ptc.com
- web nvd.nist.gov
- web github.com