CVE-2026-12569

Nome do Software Vulnerável e Versões Afetadas PTC Windchill PDMlink versões anteriores a 11.0 M030 PTC FlexPLM versões anteriores a 11.0 M030 Todas as versões do CPS

Description Um problema crítico de execução remota de código (RCE) existe devido à validação inadequada de entrada e à desserialização de dados não confiáveis. Esta falha permite que um invasor remoto não autenticado execute código arbitrário por meio de solicitações especialmente formuladas. O problema foi explorado ativamente pelo grupo de ransomware Cl0p, visando mais de 40 organizações, incluindo Shell, Philips e GE, para roubar dados de engenharia sensíveis, plantas e planos de projetos.

A exploração técnica envolve a implantação de um web shell customizado em JavaServer Pages (JSP) que se integra às APIs e classes internas do Windchill, como MethodContext, WTConnection e WTKeyStoreUtil. O web shell inclui uma função gs para descriptografar credenciais administrativas e senhas de gerente LDAP do keystore da aplicação, e uma função fl (usando a classe Flst1) para enumerar o cofre de engenharia em busca de caminhos de arquivos e IDs de stream. Além disso, um carregador de classes Java customizado chamado Cldr permite que invasores carreguem bytecode Java compilado diretamente na memória para facilitar a movimentação lateral e a exfiltração de dados. Observou-se que os invasores utilizam o cabeçalho HTTP X-windchill-req para tráfego de comandos, com respostas compactadas via GZIP para evadir sistemas de monitoramento. O reconhecimento inicial geralmente visa o endpoint WSDL do FlexPLM.

Recommendations Atualize o PTC Windchill PDMlink para a versão 11.0 M030 ou posterior. Atualize o PTC FlexPLM para a versão 11.0 M030 ou posterior. Atualize todas as versões do CPS para a versão corrigida mais recente fornecida pelo fornecedor. Restrinja o acesso ao endpoint WSDL do FlexPLM para minimizar o risco de reconhecimento.