Johnson Controls Airwall Yazılımında Kritik Güvenlik Açıkları Tespit Edildi

Johnson Controls Inc. tarafından geliştirilen Airwall yazılımının 4.0.4 ve önceki sürümlerinde, sistem güvenliğini doğrudan tehdit eden iki ciddi zafiyet keşfedildi. CVE-2026-64887 ve CVE-2026-34492 olarak tanımlanan bu açıklar, üretim tesislerinden enerji ve ulaşım sistemlerine kadar geniş bir yelpazedeki kritik altyapıları hedef alma potansiyeli taşıyor.

İlk zafiyet olan CVE-2026-64887, uygulamada gömülü (hardcoded) bir şifreleme anahtarının bulunmasından kaynaklanıyor. Ürünün tüm kurulumlarında aynı olan bu anahtar, saldırganların uygulama verilerini deşifre etmesine ve altyapı üzerindeki kontrolleri ele geçirmesine olanak tanıyor. İkinci açık olan CVE-2026-34492 ise uygulamadaki yetersiz girdi denetimi nedeniyle ortaya çıkan bir dosya okuma zafiyeti olarak öne çıkıyor. Bu hata, sisteme sızan bir saldırganın konfigürasyon dosyaları, kaynak kodları ve özel anahtarlar gibi hassas verilere erişmesine yol açabiliyor.

Johnson Controls, bu riskleri ortadan kaldırmak amacıyla tüm kullanıcıların yazılımlarını v4.1.0 veya daha yeni bir sürüme yükseltmelerini şart koşuyor. Ayrıca, siber güvenlik uzmanları, kontrol sistemlerinin internete doğrudan erişiminin kesilmesini ve bu cihazların iş ağlarından izole edilerek güvenlik duvarları arkasında tutulmasını tavsiye ediyor. Yama işlemlerinin yanı sıra, şifreleme anahtarlarının güvenli anahtar yönetim sistemlerinde saklanması ve düzenli olarak güncellenmesi, gelecekteki olası ihlalleri önlemek adına kritik bir savunma katmanı oluşturuyor.