許多企業在管理產品生命週期或工程設計數據時，會使用 PTC Windchill 或 FlexPLM 這些專業的 PLM 系統。然而，近期著名的勒索軟體組織 Cl0p 及其關聯團體，正利用這些系統在對外網路暴露時的安全性漏洞，發動大規模的數據竊取與勒索攻擊。對於維運與資安工程師來說，這次攻擊最值得關注的是攻擊者如何透過漏洞鏈結（Vulnerability Chaining）來達成最高權限的控制。
什麼是漏洞鏈結與 RCE
在這次的攻擊案例中，駭客並非僅靠單一漏洞就攻破系統，而是將兩個不同的漏洞串聯在一起。首先，他們利用 FlexPLM 的 WSDL 端點（WSDL 是定義 Web Service 介面的 XML 格式，用於告知客戶端如何與伺服器通訊）中存在的一個資訊洩露漏洞。這個漏洞允許攻擊者在不需要登入（Pre-authentication）的情況下，獲取系統內部的敏感資訊。
接著，攻擊者將獲取的資訊應用到 PTC Windchill 的登入 Servlet（Servlet 是 Java EE 中處理 HTTP 請求的伺服器端元件）中的伺服器端缺陷。這種組合最終導致了未經認證的遠端程式碼執行，也就是業界常說的 RCE (Remote Code Execution)。RCE 是極其危險的漏洞，因為它允許攻擊者直接在目標伺服器上執行任意指令，完全跳過身分驗證。
攻擊路徑與實務影響
一旦達成 RCE，攻擊者的標準作業流程（Playbook）便隨之展開。他們首先會在伺服器的特定路徑下部署 JSP Web Shell。Web Shell 是一種惡意的後門程式，讓攻擊者可以透過瀏覽器遠端操控伺服器，而不需要再次觸發漏洞。
取得初步控制權後，攻擊者會進行檔案系統枚舉，也就是掃描伺服器內有哪些資料夾與檔案。由於 Windchill 與 FlexPLM 儲存的是核心工程設計圖、產品規格等高價值數據，攻擊者會將這些資料打包並外傳。這屬於典型的雙重勒索（Double Extortion）策略：不僅加密你的資料要求贖金，還威脅若不付錢就將竊取的機密設計圖公開。
受影響的範圍與特徵
此次攻擊主要針對製造業、汽車業、航太業以及零售業，這些產業對產品設計數據的依賴度極高。目前已知涉及的關鍵漏洞編號為 CVE-2026-12569，其 CVSS 評分高達 9.3 分，屬於極高風險。該漏洞已被美國 CISA 的已知被利用漏洞目錄 (KEV) 收錄，意味著它在現實世界中已被證實可用於攻擊。
對於工程師而言，監控指標（IoC）至關重要。目前已知的惡意 IP 包括 216.152.148.54、216.152.151.204、104.243.35.63 與 5.180.41.35。此外，若發現 /Windchill/login/ 路徑下出現異常的 JSP 檔案，應立即視為已被入侵。
防禦建議與反思
這次事件再次提醒我們，將企業級應用程式直接暴露在公網（Internet-exposed）是非常危險的。對於 PLM 這類儲存核心資產的系統，應採取以下防禦措施：首先，立即更新至 PTC 提供的最新補丁版本以修復 CVE-2026-12569。其次，應將系統移至內部網路或透過 VPN 存取，而非直接對外開放。最後，應定期檢查 Web 根目錄是否有非預期的檔案變動，以防止 Web Shell 的潛伏。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。