Johnson Controls Simplex Incident Manager Yazılımında Kritik Güvenlik Açığı

Johnson Controls, kritik altyapı sektörlerinde yaygın olarak kullanılan Simplex Incident Manager uygulaması için önemli bir güvenlik uyarısı yayınladı. CVE-2026-27875 koduyla tanımlanan bu zafiyet, uygulamanın kullanıcı parolalarını ve kimlik doğrulama anahtarlarını sistem belleğinde şifrelenmemiş bir biçimde saklamasından kaynaklanıyor.

Söz konusu açık, yerel erişime sahip düşük yetkili bir saldırganın bellek dökümü araçlarını kullanarak hassas bilgileri kolayca dışa aktarmasına olanak tanıyor. Bu durum, saldırganların uygulamaya ve bağlı sistemlere yetkisiz erişim sağlamasıyla sonuçlanabilir. Simplex Incident Manager v2.01 ve önceki tüm sürümleri etkileyen bu durum, özellikle enerji, ulaşım ve kamu hizmetleri gibi kritik tesislerde ciddi bir risk oluşturuyor.

Şirket, bu zafiyeti gidermek amacıyla v2.01.01 sürümünü kullanıma sundu. Güvenlik uzmanları, yama işleminin yanı sıra sistemlere yerel erişimin yalnızca yetkili personelle sınırlandırılmasını, uç nokta koruma çözümlerinin devreye alınmasını ve en az yetki prensibinin uygulanmasını tavsiye ediyor. Ayrıca, disk şifreleme ve güvenli önyükleme gibi yöntemlerin, çevrimdışı bellek analizlerine karşı koruma sağlamak adına kullanılması öneriliyor. Şu an için bu zafiyetin aktif olarak sömürüldüğüne dair bir rapor bulunmuyor ve açığın uzaktan tetiklenmesi mümkün değil.