Web shell nhắm vào PTC Windchill có thể giải mã thông tin xác thực và truy cập dữ liệu kỹ thuật
"ReliaQuest reported a bespoke JSP web shell used after exploitation of CVE-2026-12569 in PTC Windchill and FlexPLM, a critical improper input validation flaw (CVSS 9.3) that can lead to arbitrary code execution. The implant is tailored to Windchill, decrypting stored credentials, enumerating vault data, and loading additional in-memory Java payloads to support data theft, persistence, and lateral movement; the recommended fix is to remediate the vulnerable software and remove any deployed web shells."
Nguy cơ thực thi mã từ xa, rò rỉ thông tin xác thực và đánh cắp dữ liệu kỹ thuật; có thể mở rộng sang di chuyển ngang trong toàn bộ hạ tầng.
Có thể gây mất dữ liệu thiết kế, ảnh hưởng tài sản trí tuệ và làm gián đoạn các quy trình PLM; chi phí xử lý sự cố và khôi phục có thể tăng đáng kể.
ReliaQuest cho biết một JSP web shell tùy biến đã được triển khai sau khi khai thác CVE-2026-12569 trên PTC Windchill và FlexPLM. Lỗ hổng này là lỗi improper input validation nghiêm trọng, có CVSS 9.3, và có thể dẫn đến thực thi mã từ xa khi kẻ tấn công gửi yêu cầu độc hại.
Theo phân tích, web shell này được thiết kế riêng cho môi trường PLM của Windchill. Nó có thể giải mã thông tin xác thực lưu trong keystore, liệt kê dữ liệu trong vault, và nạp thêm Java payload trực tiếp vào bộ nhớ để phục vụ duy trì truy cập, di chuyển ngang và đánh cắp dữ liệu. Một lệnh riêng còn có thể trích xuất thông tin đăng nhập LDAP, làm tăng nguy cơ ảnh hưởng sang các dịch vụ khác như Active Directory, email hoặc VPN.
Do Windchill và FlexPLM thường lưu dữ liệu kỹ thuật và thiết kế sản phẩm, việc bị xâm nhập có thể dẫn đến rò rỉ tài sản trí tuệ và thông tin nhạy cảm của doanh nghiệp. Khuyến nghị kỹ thuật là vá ngay phần mềm bị ảnh hưởng, kiểm tra dấu hiệu web shell, và xóa mọi implant đã triển khai. Đồng thời, cần rà soát tài khoản đặc quyền, xoay vòng mật khẩu/khóa mã hóa, và giám sát hoạt động bất thường trong ứng dụng cũng như hệ thống danh mục thư mục.