Johnson Controls Güvenlik Sunucularında Kritik Uzaktan Kod Yürütme Açığı

Johnson Controls tarafından geliştirilen C-CURE 9000 ve victor uygulama sunucularında, fiziksel güvenlik altyapılarını hedef alan kritik bir zafiyet keşfedildi. CVE-2026-21655 koduyla takip edilen bu açık, yerel ağdaki kimlik doğrulaması yapmamış bir saldırganın, sunucular üzerinde keyfi kod yürütmesine olanak tanıyor. Bu durum, yalnızca sunucuları değil, aynı zamanda bu sistemlere bağlı olan güvenlik personeli iş istasyonlarını da doğrudan tehdit ediyor.

Söz konusu zafiyet, C-CURE 9000 ve victor sürümlerinin 2.90_v3.0 ve öncesini, ayrıca victor Web'in 7.1 ve önceki sürümlerini kapsıyor. CVSS puanı 9.6 olarak belirlenen bu güvenlik açığı, özellikle kritik üretim sektörlerinde faaliyet gösteren kurumlar için ciddi bir risk oluşturuyor. Güvenlik araştırmacıları, bu açık üzerinden gerçekleştirilecek bir saldırının fiziksel güvenlik kontrollerini devre dışı bırakabileceği konusunda uyarıyor.

Şirket, bu riski ortadan kaldırmak için kullanıcıların sistemlerini 3.20 veya daha güncel bir sürüme yükseltmelerini zorunlu kılıyor. Yama işleminin yanı sıra, ağ güvenliğini artırmak amacıyla sunucuların özel bir ağ segmentine izole edilmesi ve 8999 numaralı port üzerindeki erişimlerin yalnızca yetkili sistemlerle sınırlandırılması öneriliyor. Ayrıca, güvenilmeyen ağ segmentlerinden gelen gereksiz tüm bağlantıların güvenlik duvarı kurallarıyla engellenmesi ve IDS/IPS imzalarının güncel tutulması kritik bir savunma adımı olarak öne çıkıyor.