CVE-2026-4681Disclosure

PTC issues a critical advisory for Windchill and FlexPLM. CVE-2026-4681 is an RCE flaw allowing full server control via deserialization. Patch now! #PTC #Windchill #FlexPLM #CyberSecurity #InfoSec #RCE #PatchAlert #Vulnerability #PLM #Manufacturing https://securityonline.info/ptc-windchill-flexplm-critical-rce-vulnerability-cve-2026-4681/ https://t.co/hXfJkpGf8q

📌 تحذير من PTC بشأن ثغرة حرجة في Windchill و FlexPLM تسمح بتنفيذ تعليمات برمجية عن بعد أصدرت شركة PTC تحذيراً عاجلاً بخصوص ثغرات أمنية حرجة في منتجاتها Windchill و FlexPLM. تسمح هذه الثغرات، المحددة مثل CVE-2026-4681، بتنفيذ تعليمات برمجية عن بعد (RCE) على الأنظمة المتأثرة. يُشير هذا الخلل إلى خطر جسيم يهدد سلامة الأنظمة وقد يؤدي إلى التحكم غير المصرح به. يُنصح بتطبيق التحديثات الأمنية الصادرة عن PTC فوراً للتخفيف من هذا التهديد. 🔗 للمزيد: https://thecyberexpress.com/flexplm-vulnerability-cve-2026-4681/

Detection engineering digest covers 48 new and 47 updated rules across 10 repos, with standout additions for CVE-2026-33825 LPE, BYOVD, RMM abuse, and cross-platform credential theft. Key updates: - Splunk added 9+ rules for CVE-2026-33825 (BlueHammer/RedSun LPE exploits), monitoring MsMpEng writing to System32, VSSVC accessing Defender engine binaries, cldapi.dll loaded by uncommon processes, and TieringEngineService.exe spawning suspicious children. Separately, CVE-2026-4681 PTC Windchill rules hunt for GW_READY_OK probe strings in MethodServer log4j events signaling pre-exploitation recon. - LOLDrivers updated MD5, SHA1, SHA256, and IMPHASH blocklists plus driver filename filters to catch current BYOVD campaigns bypassing HVCI for kernel-level access. LOLRMM added JumpCloud*.exe, Remotely_Agent.exe, and Remotely_Desktop.exe process detections for RMM-based persistence. - SigmaHQ added a rule for registry enumeration via WMIC StdRegProv (EnumKey, EnumValues, GetStringValue), a technique adversaries use to bypass reg.exe-focused monitors. Splunk updated SmartScreen and Defender disable rules to match both integer 0 and hex 0x00000000 registry values, closing an evasion gap tied to SalatStealer. - Cross-platform coverage expanded: Neo23x0 added YARA for Arch Linux ALPM hook supply chain attacks (npm/bun in post-install scripts redirecting stderr to /dev/null). #DFIR_Radar

この1週間を一言でまとめると、「公開直後の高危険CVEがすぐ実戦投入される一方で、認証情報・セッション・開発基盤を狙う“静かな侵害”が広がった週」でした。特に、Langflow の CVE-2026-33017、PTC Windchill/FlexPLM の CVE-2026-4681、F5 BIG-IP APM の CVE-2025-53521 など、AI基盤・設計基盤・境界機器にまたがる実悪用・高優先パッチ案件が並びました。 同時に、TeamPCP による OSS サプライチェーン汚染が週を通じて拡大しました。Trivy から始まった侵害は、Docker Hub、VS Code、PyPI、さらに Telnyx パッケージへと波及し、CI/CD・クラウド資格情報・Kubernetes シークレットまでを視野に入れた横断的な脅威になっています。 国家系・実害面では、ロシア系による Signal/WhatsApp 利用者へのフィッシング、欧州委員会のクラウド基盤侵害調査、Stryker 事案の医療現場への波及が象徴的でした。週後半には、macOS 向け ClickFix + Infiniti Stealer も表面化し、ゼロデイだけでなく 認証・操作誘導・周辺面の弱点 が攻撃面として定着していることがはっきりしました。

03/27は、PTC Windchill/FlexPLM の実悪用級RCE、欧州委のクラウド侵害、公的機関へのフィッシング侵害、開発者を狙うGitHub経由マルウェア拡散、イラン系による hack-and-leak が目立ちました。 特に CVE-2026-4681 は PTC Windchill/FlexPLM の未認証RCEとして警戒度が高く、ドイツでは警察が組織へ直接注意喚起したと報じられています。 欧州委員会は 3月24日に Europa Web Platform を支えるクラウド基盤への攻撃を受け、一部データ流出の可能性を調査中です。オランダ警察もフィッシング起点の侵害を公表しました。 CVE-2026-4681 は PTC Windchill/FlexPLM の未認証RCEで、原因は信頼できないデータのデシリアライズとされています。SecurityWeek は、CISA がこの脆弱性を強く警戒し、ドイツでは警察が組織を直接訪問して注意喚起したと伝えています。 欧州委員会の件は、Reuters が 3月24日にクラウド基盤が攻撃され、初期調査ではデータが取得された可能性があるが内部システムは非影響 と報じ、BleepingComputer は 少なくとも1つの AWS アカウントが影響した と伝えています。オランダ警察の件は、フィッシング成功後の侵害で、市民データへの影響は確認されていないものの、攻撃者アクセスの遮断と調査継続が公表されています。 開発者向けの偽 VS Code 警告では、GitHub Discussions から外部配布へ誘導し、Google Drive 経由のダウンロード と drnatashachinn[.]com を使った JavaScript ベースの選別が確認されています。さらに Reuters と The Record は、Handala が FBI 長官の個人メール侵害を主張し、300件超のメールや写真を公開したと報じています。

CVE-2026-4681 in PTC Windchill/FlexPLM scores a perfect CVSS 10.0 - RCE via deserialization, no patch available yet. German police are physically showing up at companies to warn admins. That's how serious this is. https://securityaffairs.com/190049/security/cisa-and-bsi-warn-orgs-of-critical-ptc-windchill-and-flexplm-flaw.html #cybersecurity #PLM #RCE #CISA

PTCは、Windchill と FlexPLM の重大RCEである CVE-2026-4681 について、差し迫った悪用リスクがあると警告した。重要なのは、まだ修正パッチが揃っていない一方で、ドイツ当局が企業へ直接警告に回るほど緊急度が高い点。 原因は trusted data の unsafe deserialization で、影響はWindchillとFlexPLMの広いサポート対象バージョンに及ぶ。PTCは、Apache/IISルールで該当サーブレットパスへのアクセス遮断を直ちに入れるよう勧告し、無理ならインターネット切断か停止を推奨している。 現時点でPTCは顧客への実悪用は確認していないが、GW.class、payload.bin、dpr_.jsp、run?p=、.jsp?c=、GW_READY_OK などのIoCと検知ポイントを公開している。PTCの顧客向け通知では「第三者グループによる差し迫った脅威の信頼できる証拠」があるとされる。 APT: 未特定 Malware: webshell系 CVE: CVE-2026-4681 IoC: GW.class, payload.bin, dpr_.jsp, run?p=, .jsp?c=, GW_READY_OK #CyberSecurity #ThreatIntel #RCE #Windchill #FlexPLM #CVE20264681 https://www.bleepingcomputer.com/news/security/ptc-warns-of-imminent-threat-from-critical-windchill-flexplm-rce-bug/

Critical vulnerability in PTC's Windchill and FlexPLM may lead to RCE on affected systems. Info, incl. fix info, at #SecAlerts: CVE-2026-4681, CVSS 9.3 - https://secalerts.co/vulnerability/CVE-2026-4681 #ciso #cio #cto #vulnerabilities #cybersecurity #msp #mssp #CVE20264681 #PTC #windchill #flexplm https://t.co/QGRNgEVtDK

On June 17, 2026, product lifecycle management (PLM) and industrial/IoT software vendor PTC disclosed a critical remote code execution vulnerability in their PLM tool Windchill and add-on FlexPLM (CVE-2026-12569). #CVE202612569 On July 20, Ransom-ISAC reported that multiple organizations began receiving emails confirmed to be from the Cl0p ransom/extortion group, warning that their “confidential information” had been stolen. PTC’s customer base includes organizations across aerospace and defense, electronics, energy, industrial systems, and medical technology verticals, among others. This disclosure comes just three months after PTC disclosed an earlier critical RCE affecting the same products (CVE-2026-4681); there is no currently known exploitation of this earlier vulnerability. #CVE20264681 As far back as June 1, 2026, Censys observed fewer than 100 instances of PTC Windchill exposed to the Internet, with a decline in exposed instances shortly after PTC’s initial advisory publication on June 17, 2026. 80% of observed #Windchill instances are found in the U.S., and nearly a quarter of hosts running Windchill are on Akamai infrastructure, which aligns with the product’s enterprise customer profile. To date, vendor PTC has published 12 IOC IP addresses associated with this campaign. During the suspected attack time frame of early to mid June, Censys observed rapid service churn–in some cases, up and down in less than 24 hours–across these IP addresses, pointing to the short-lived nature of attack infrastructure. #Cl0p has new email contact information and infrastructure, powered by registrar CNOBIN, Cloudflare nameservers, and Roundcube Webmail on their own self-hosted mail server.

CVE-2026-4681 is being actively exploited in the wild. Today, we detected an actor exploiting this vulnerability against our PTC Windchill PLM honeypots. This vulnerability has no public POC code exists. https://trap.biu.life/intelligence/6a4b567cbf6da21c4bbb1e6a https://t.co/7eYK7uuGrh

PTC warns of imminent Windchill and FlexPLM RCE… (CVE-2026-4681) deserves defender attention because this vulnerability… The flaw affects Windchill and FlexPLM, carries critical severity, and can be exploited for remote code execu…

PTC warns of critical RCE bug CVE-2026-4681 in Windchill/FlexPLM with credible imminent threat. German 🇩🇪 federal police dispatching agents to alert companies nationwide shows severity of this PLM supply chain risk. #DFIR_Radar https://t.co/3n9H4ntEzM

TRC analysis reveals attackers exploiting CVE-2026-4681 in PTC Windchill PLM systems to achieve remote code execution through deserialization flaws. Post-compromise lateral movement across manufacturing networks demonstrates the critical need for runtime segmentation to limit blast radius. #CloudSecurity 🔗 Full TRC analysis: https://aviatrix.ai/threat-research-center/ptc-windchill-2026-remote-code-execution-vulnerability

CISA warns of a critical deserialization vulnerability (CVE-2026-4681) in PTC Windchill and FlexPLM that allows remote code execution without authentication. German police have issued physical alerts. #PTCFlaw #Germany #RemoteCode https://ift.tt/HMI34r2

CVE-2026-4681 FlexPLM vulnerability enables critical RCE risk now -- https://thecyberexpress.com/flexplm-vulnerability-cve-2026-4681

PTC warns of a critical deserialization bug (CVE-2026-4681) in Windchill and FlexPLM leading to remote code execution risks across most versions. German authorities issue emergency alerts. Patches and mitigations underway. #Windchill #RemoteCodeExec https://ift.tt/sEOhVgG

Warning: A critical #RCE vulnerability, #CVE-2026-4681, affects #PTC Windchill and FlexPLM. It allows full compromise of C/I/A of core PLM, risking IP theft, supply chain exposure, and disruption. Updates and remediations are available https://www.ptc.com/en/about/trust-center/advisory-center/active-advisories/windchill-flexplm-critical-vulnerability?srsltid=AfmBOop3e7Nthx5-BsrjKdpZi50wL6l6Bt21Fz0gUub2cIPgdPGV5bNl #Patch #Patch #Patch

[CVE-2026-4681: CRITICAL] Critical RCE vulnerability found in PTC Windchill & FlexPLM. Exploitable through untrusted data deserialization. Versions impacted detailed. Patch advised ASAP.#cve,CVE-2026-4681,#cybersecurity https://cvefind.com/CVE-2026-4681

🔒 #CyberSecurity Critical PTC Windchill Vulnerability: How to Patch and Defend Against CVE-2026-… "For organizations relying on PTC Windchill Product Lifecycle Management (PLM) software,…" 🔗 https://securityarsenal.com/blog/critical-ptc-windchill-vulnerability-how-to-patch-and-defend-against-cve-2026-4681 #CyberSecurity #ThreatIntel #soc #threatintel #managedsoc

CVE-2026-4681: PTC Windchill and FlexPLM Remote Code Execution Vulnerability - What It Means for Your Business and How to Respond https://hubs.li/Q049G_fF0