PTC, Windchill ve FlexPLM'deki yeni kritik kod çalıştırma açığı için yama yayımladı

PTC, 11 Kasım’da ABD Doğu saatiyle 10.30’da (Türkiye saatiyle 18.30), Güven Merkezi’ndeki (Trust Center) Windchill ve FlexPLM sayfasında kritik açık CVE-2026-126325 için yeni bir güvenlik yamasının yayımlandığını duyurdu. Windchill ve FlexPLM, PTC’nin ürün yaşam döngüsü yönetimi (PLM) yazılımları.

Açık

CVE kaydına göre açık, güvenilmeyen verilerin seri durumdan çıkarılması (deserialization of untrusted data, CWE-502) ve hatalı girdi doğrulaması (CWE-20) kaynaklı ve uzaktan kod çalıştırmaya (RCE) yol açabiliyor. PTC’nin kayda eklediği CVSS 4.0 puanı 9.2, CVSS 3.1 puanı 9.0. Puanlamaya göre saldırı ağ üzerinden yapılabiliyor, kimlik doğrulaması ve kullanıcı etkileşimi gerekmiyor, ancak saldırının karmaşıklığı yüksek. CVSS 4.0 değerlendirmesinde açık otomatikleştirilebilir (automatable) olarak işaretli.

CVE kaydında etkilenen sürümler şöyle listeleniyor:

• Windchill: 11.0 M030, 11.1 M020, 11.2.1.0, 12.0.2.0, 12.1.2.0, 13.0.2.0, 13.1.0.0, 13.1.1.0, 13.1.2.0, 13.1.3.0 ve 13.1.4.0
• FlexPLM: 11.0 M030, 11.1 M020, 11.2.1.0, 12.0.2.0, 12.1.2.0, 13.0.2.0, 13.1.0.0, 13.1.1.0, 13.1.2.0 ve 13.1.3.0

Yama

PTC’ye göre yamanın indirme ve kurulum talimatları CS483249 numaralı destek makalesinde ve yamayı bir Windchill yöneticisinin uygulaması gerekiyor. CVE kaydında bu makale erişim izni gerektiren bir kaynak olarak işaretli. PTC’nin barındırdığı Windchill ve FlexPLM ortamlarında yama şirket tarafından uygulandı ve bu müşterilerin bir işlem yapmasına gerek yok. PTC, ortamını kendisi işleten müşterilerin yamayı en kısa sürede uygulamasını istiyor.

Önceki açıklar

PTC’nin aynı sayfası, Haziran’dan bu yana Windchill ve FlexPLM’deki açıklarla ilgili güncellemeleri içeriyor. Şirket Haziran’da kritik açık CVE-2026-12569 için düzeltme adımları ve yamalar yayımlamış, Haziran ile Ağustos arasında saldırganlara ait IP adresleri ve web shell yolları gibi saldırı göstergeleri (IOC) paylaşmıştı. ABD siber güvenlik ajansı CISA, CVE-2026-12569’u 25 Haziran’da saldırılarda kullanılan açıklar listesi KEV’e ekledi. Listede açığın fidye yazılımı kampanyalarında kullanıldığının bilindiği belirtiliyor. PTC Ağustos’ta da yine güvenilmeyen verilerin seri durumdan çıkarılmasıyla ilgili kritik bir kod çalıştırma açığı (CVE-2026-77645) ve bir SSRF açığı (CVE-2026-77646) duyurmuştu.

PTC’nin duyurusunda CVE-2026-126325’in saldırılarda kullanıldığına dair bir bilgi yok ve açık 13 Kasım itibarıyla KEV listesinde değil.