Уязвимость в системах управления жизненным циклом изделий PTC Windchill PDMLink и PTC FlexPLM позволяет удалённому злоумышленнику выполнить произвольный код на сервере. Базовая оценка по CVSS 3.1 составляет 9,8 из 10, а по устаревшей шкале CVSS 2.0 достигает максимума. Проблема получила идентификатор CVE-2026-12569, её описание внесли в Банк данных угроз безопасности информации (BDU) под номером BDU:2026-15983. Помимо этого, уязвимость попала в каталог KEV американского агентства CISA. Производитель подтвердил проблему и признал, что работоспособный эксплойт уже существует.
Детали уязвимости
Windchill PDMLink и FlexPLM относятся к классу PLM-систем (платформ управления жизненным циклом изделий). Предприятия хранят в них конструкторскую документацию, трёхмерные модели, спецификации, технологические процессы и сведения о версиях выпускаемой продукции. Такие системы обычно связаны с ERP-контурами (системами планирования ресурсов предприятия), с производственным оборудованием и с сетями подрядчиков. Поэтому успешная атака на сервер PLM затрагивает не только ИТ-службу, но и весь производственный цикл.
Причина уязвимости - сочетание двух ошибок в коде. Первая состоит в недостаточной проверке вводимых данных (CWE-20): приложение принимает сведения от пользователя и не убеждается, что они соответствуют ожидаемому формату. Вторая ошибка - восстановление в памяти недостоверных данных (CWE-502). Речь идёт о небезопасной десериализации: сервер получает от клиента структуру данных, подготовленную для передачи, и восстанавливает её без проверки содержимого. Злоумышленник подставляет в такую структуру собственные инструкции. В результате сервер исполняет их как часть собственной логики. По классификации BDU способ эксплуатации описывают как манипулирование ресурсами и манипулирование структурами данных.
Для атаки не нужны учётные данные. Вектор уязвимости сетевой, сложность эксплуатации низкая, аутентификация и действия пользователя не требуются. Иначе говоря, достаточно обратиться к уязвимому сервису по сети. Это заметно расширяет круг потенциальных целей, поскольку под удар попадают любые развёртывания, доступные из корпоративной сети или из интернета. Наличие готового эксплойта дополнительно снижает порог входа: атакующему не требуется глубокая экспертиза, ему хватает публичного инструмента.
Затронуты выпуски PTC Windchill PDMLink и PTC FlexPLM до версии 11.0 M030. Уязвимость выявили 18 июня, и она относится к классу ошибок кода, а не к ошибкам конфигурации. Поэтому настройками защиту не закрыть, требуется замена уязвимых компонентов.
Последствия успешной эксплуатации зависят от прав, под которыми работает уязвимая служба. Обычно сервер PLM запускают с широкими полномочиями. Значит, злоумышленник может читать и изменять конструкторские данные, внедрять правки в спецификации, устанавливать собственное программное обеспечение и перемещаться дальше по внутренней сети. Для промышленного предприятия это означает риск утечки интеллектуальной собственности, искажения проектной документации и сбоев в выпуске продукции. Кроме того, подменённые данные долго остаются незамеченными, потому что системы этого класса не рассчитаны на постоянную проверку целостности проектных решений. Ошибка в спецификации обнаруживается уже на этапе производства, когда исправлять её дорого.
Исправление доступно. Производитель устранил уязвимость и описал порядок действий в рекомендациях CS473270. Администраторам стоит обновить оба продукта до версии выше 11.0 M030 и проверить, не осталось ли в контуре узлов со старыми сборками. Если обновление невозможно сразу, имеет смысл ограничить сетевой доступ к серверам PLM, отключить лишние интерфейсы и включить подробное журналирование обращений к сервисам. Полезно также просмотреть журналы за прошлые периоды на предмет подозрительных запросов. Отдельно проверяют интеграционные шлюзы между PLM и ERP: через них удобно развивать атаку, оставаясь в доверенной зоне.
Тот факт, что уязвимость вошла в каталог CISA KEV, указывает на её применение в реальных атаках. Промышленным предприятиям с развёрнутыми Windchill и FlexPLM стоит отнестись к обновлению как к первоочередной задаче. Цена промедления здесь измеряется не только утечкой данных, но и искажением документации, по которой выпускают изделия. Платформы управления жизненным циклом изделий привлекают злоумышленников, поскольку хранят наиболее ценную для конкурентов информацию, а их защите на многих предприятиях уделяют меньше сил, чем корпоративным сетям и учётным системам.
Ссылки
- https://bdu.fstec.ru/vul/2026-15983
- https://www.cve.org/CVERecord?id=CVE-2026-12569
- https://www.ptc.com/en/support/article/CS473270
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-12569
