Giriş
U.S. Cybersecurity and Infrastructure Security Agency (CISA), PTC Windchill PDMlink ve PTC FlexPLM yazılımlarındaki kritik bir uzaktan kod yürütme açıklarını içeren bir güncellemeyi duyurdu. Bu durum, aktif bir istismar sürecinin yaşandığına işaret ediyor ve kullanıcılar için büyük bir tehdit oluşturuyor.
Saldırı Nasıl Çalışıyor?
Söz konusu güvenlik açığı CVE-2026-12569 (CVSS skoru: 9.3) olarak tanımlanmaktadır. Bu açık, uygunsuz girdi doğrulaması sonucu, saldırganların kötü niyetli bir istek göndererek ağ üzerinde rastgele kod yürütmesine olanak tanımaktadır. PTC’nin yayınladığı bir bildiriye göre, bu uzaktan kod yürütme (RCE) açığı, güvensiz verilerin yeniden serileştirilmesi yoluyla istismar edilebilir.
Etkilenen Sistemler
PTC, bu açığın etkilediği aşağıdaki yazılımların kullanıcılarını hedef aldığını belirtmiştir:
- PTC Windchill PDMlink
- PTC FlexPLM
Çözüm ve Korunma
Hatanın düzeltici yamanın yayınlanmasından sonra bile, PTC, 25 Haziran itibarıyla “artan tehdit aktivitesi” raporları aldığını doğruladı. Bilinmeyen saldırganların bu açığı istismar ederek sistemlere JSP web shell’leri yerleştirdiği bildirilmektedir. Kullanıcılara önerilen bazı önlemler şunlardır:
- 5.180.41.35 IP adresini sınır güvenlik duvarında hemen engelleyin.
- HTTP erişim günlüklerinde /Windchill/login/*.jsp‘ye yönelik herhangi bir POST isteğini arayın.
- 16 haneli hex deseniyle eşleşen JSP dosyalarını bulmak için dosya sistemini tarayın: /Windchill/login/[0-9a-f]{16}.jsp.
- Şüpheli JSP dosyalarının hash kontrolünü yaparak 55a1eb4c2d3da04376df39d7ba832569c6af1a37a0cf2b95f754ac898023a30c hash’ine karşı karşılaştırın.
- /tmp veya Windchill çalışma dizininde flst.txt dosyasının varlığını kontrol edin, bu, saldırganların dosya listeleme faaliyetini doğrular.
- Herhangi bir istek içindeki X-windchill-req: başlığını engelleyen WAF/IDS kuralı ekleyin.
- İşlem olarak mümkün olduğunca Windchill giriş noktasının internet maruziyetini kısıtlayın.
Bu gelişmeler, CISA’nın KEV kataloguna eklenen PTC ürünlerine ait ilk güvenlik açığı olması ve tehdit aktörlerinin yeni açıklanan güvenlik açıklarını hızla silahlandırarak kullanımına dikkat çekmektedir.
Sonuç
Kullanıcıların, yukarıdaki adımları uygulayarak sistemlerini koruma altına alınması önerilmektedir. Ayrıca, yazılımlarınızı güncellemeyi ve belirlenen IP adreslerini engellemeyi unutmayın. Güvenlik açıklarına karşı proaktif olmak, siber tehditlere karşı en etkili savunmadır.
