ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ช่องโหว่ด้านความมั่นคงปลอดภัยในผลิตภัณฑ์ Windchill และ FlexPLM ซึ่งอาจถูกใช้เป็นช่องทางในการรันคำสั่งบนระบบโดยไม่ได้รับอนุญาต (Remote Code Execution – RCE) ผู้ดูแลระบบควรดำเนินการป้องกันและลดความเสี่ยงโดยทันที
1. รายละเอียดช่องโหว่
Windchill ได้เปิดเผยช่องโหว่ในผลิตภัณฑ์ Windchill และ FlexPLM [1] อ้างอิงหมายเลข CVE-2026-4681 (คะแนน CVSSv.4.0 : 9.3) [2] เป็นช่องโหว่ประเภท Remote Code Execution (RCE) ที่เกิดจากการจัดการข้อมูลที่ไม่เชื่อถือ (Untrusted Data) ผ่านกระบวนการ deserialization อย่างไม่ปลอดภัย ส่งผลให้ผู้ไม่หวังดีสามารถส่งข้อมูลที่ถูกสร้างขึ้นเป็นพิเศษเพื่อให้ระบบประมวลผลและรันโค้ดตามที่ผู้โจมตีต้องการได้ จัดอยู่ในหมวด CWE-94 ประเภท Improper Control of Generation of Code (Code Injection) แม้ปัจจุบันยังไม่พบรายงานการถูกโจมตีจริงในวงกว้าง แต่ลักษณะของช่องโหว่มีความเสี่ยงสูงและสามารถถูกนำไปใช้โจมตีได้ทันทีเมื่อมีการพัฒนาเครื่องมือโจมตี
2. รูปแบบการโจมตี
ผู้โจมตีสามารถใช้ช่องโหว่นี้โดยการส่ง HTTP request ที่มีรูปแบบเฉพาะไปยัง endpoint ของระบบ เช่น การเรียกใช้งาน URL ที่เกี่ยวข้องกับ servlet ที่มีช่องโหว่ หรือการแนบ payload ที่ถูกออกแบบเพื่อใช้ประโยชน์จากช่องโหว่ deserialization ทำให้ผู้โจมตีสามารถรันคำสั่งบนเซิร์ฟเวอร์ ติดตั้งมัลแวร์หรือ backdoor และเข้าควบคุมระบบได้ทั้งหมด ผู้ดูแลระบบควรเฝ้าระวังพฤติกรรมที่เกี่ยวข้องดังนี้ เพื่อป้องกันความเสี่ยงจากการโจมตีดังกล่าว
2.1 Request ที่มีรูปแบบ เช่น run?p= , .jsp?p= หรือ run?c= , .jsp?c=
2.2 การใช้ User-Agent ที่น่าสงสัย เช่น browser version ที่ผิดปกติ
2.3 การอัปโหลดหรือสร้างไฟล์ต้องสงสัย เช่น GW.class, payload.bin
2.4 ไฟล์ .jsp ที่ชื่อสุ่ม (เช่น dpr_xxxxxxxx.jsp)
3. ผลิตภัณฑ์ที่ได้รับผลกระทบ (ครอบคลุมทุก CPS version)
3.1 Windchill PDMLink เวอร์ชัน 11.0 M030
3.2 Windchill PDMLink เวอร์ชัน 11.1 M020
3.3 Windchill PDMLink เวอร์ชัน 11.2.1.0
3.4 Windchill PDMLink เวอร์ชัน 12.0.2.0
3.5 Windchill PDMLink เวอร์ชัน 12.1.2.0
3.6 Windchill PDMLink เวอร์ชัน 13.0.2.0
3.7 Windchill PDMLink เวอร์ชัน 13.1.0.0
3.8 Windchill PDMLink เวอร์ชัน 13.1.1.0
3.9 Windchill PDMLink เวอร์ชัน 13.1.2.0
3.10 Windchill PDMLink เวอร์ชัน 13.1.3.0
3.11 FlexPLM เวอร์ชัน 11.0 M030
3.12 FlexPLM เวอร์ชัน 11.1 M020
3.13 FlexPLM เวอร์ชัน 11.2.1.0
3.14 FlexPLM เวอร์ชัน 12.0.0.0
3.15 FlexPLM เวอร์ชัน 12.0.2.0
3.16 FlexPLM เวอร์ชัน 12.0.3.0
3.17 FlexPLM เวอร์ชัน 12.1.2.0
3.18 FlexPLM เวอร์ชัน 12.1.3.0
3.19 FlexPLM เวอร์ชัน 13.0.2.0
3.20 FlexPLM เวอร์ชัน 13.0.3.0
4. แนวทางการแก้ไข
4.1 ผู้พัฒนากำลังจัดทำและเผยแพร่แพตช์ความปลอดภัยสำหรับช่องโหว่นี้ ผู้ดูแลระบบควรติดตามและดำเนินการอัปเดตแพตช์ทันทีเมื่อมีการเผยแพร่
4.2 แนวทางแก้ไขชั่วคราว (Workaround)
– กรณีใช้ Apache HTTP Server ให้เพิ่มการตั้งค่าเพื่อบล็อก endpoint ที่เสี่ยง:
<LocationMatch “^.*servlet/(WindchillGW|WindchillAuthGW)/com\.ptc\.wvs\.server\.publish\.Publish(?:;[^/]*)?/.*$”>
Require all denied
</LocationMatch>
– จากนั้น restart Apache HTTP Server
– กรณีใช้ Microsoft IIS ให้เพิ่ม URL Rewrite rule:
<rule name=”Block Windchill Publish Servlet” stopProcessing=”true”>
<match url=”^.*servlet/(WindchillGW|WindchillAuthGW)/com\.ptc\.wvs\.server\.publish\.Publish(;[^/]*)?/.*$” ignoreCase=”true” />
<action type=”CustomResponse” statusCode=”403″ statusReason=”Forbidden” statusDescription=”Access Denied” />
</rule>
จากนั้น restart IIS ด้วยคำสั่ง iisreset
4.3 กรณีที่ใช้งานผลิตภัณฑ์ในเวอร์ชันก่อน 11.0 M030 มีความเสี่ยงสูงและอาจไม่สามารถใช้มาตรการป้องกันได้อย่างเพียงพอ ผู้ดูแลระบบควรดำเนินการดังนี้โดยเร่งด่วน:
– ถอดระบบออกจากการเชื่อมต่ออินเทอร์เน็ต (Disconnect from public internet)
– จำกัดการเข้าถึงเฉพาะเครือข่ายภายในองค์กร
– พิจารณาอัปเกรดไปยังเวอร์ชันที่ได้รับการสนับสนุนโดยเร็วที่สุด
5. คำแนะนำด้านความปลอดภัยเพิ่มเติม
5.1 ใช้มาตรการเสริมกับทุกระบบ (รวม FlexPLM / File Server) เช่น การจำกัดสิทธิ์การเข้าถึง (Least Privilege) หรือการทำ Network Segmentation
5.2 ตรวจสอบ Log และ Indicators of Compromise (IOCs) อย่างสม่ำเสมอ
6. แหล่งอ้างอิง
[1] https://www.ptc.com/en/about/trust-center/advisory-center/active-advisories/windchill-flexplm-critical-vulnerability
[2] https://nvd.nist.gov/vuln/detail/CVE-2026-4681