Vulnerabilidades críticas en los sistemas de seguridad física de Johnson Controls

Las vulnerabilidades, identificadas con los códigos CVE-2026-21655, CVE-2026-21653 y CVE-2026-34496, afectan a componentes clave de los sistemas de seguridad física de Johnson Controls, incluyendo C-CURE 9000 y las diferentes versiones de Victor. La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) ha emitido una alerta destacando el potencial impacto de estos fallos, especialmente en el sector de la fabricación crítica a nivel global.

Ejecución de código remoto y control de seguridad física

La más grave de las vulnerabilidades, CVE-2026-21655, posee una puntuación CVSS de 9.6 (Crítica) y permite a un atacante no autenticado, con acceso a la red adyacente, ejecutar código arbitrario en los servidores de las aplicaciones C-CURE 9000 y Victor. Esta capacidad es extremadamente peligrosa, ya que un atacante podría comprometer los controles de seguridad física conectados, afectando la integridad y la disponibilidad de los sistemas críticos. Johnson Controls ha identificado que esta vulnerabilidad se origina en una ruta de deserialización susceptible a ataques.

Falsificación de solicitudes y acceso a información sensible

Por otro lado, la CVE-2026-21653, también calificada como Crítica con 9.6 en el sistema CVSS, permite la falsificación de solicitudes HTTP (Server-Side Request Forgery o SSRF) desde la aplicación Victor Web. Un atacante podría utilizar este fallo para interactuar con servicios internos de la red local, lo que podría conducir a la divulgación no autorizada de información o al movimiento lateral dentro de la infraestructura de la organización.

Finalmente, la CVE-2026-34496, con una puntuación CVSS de 8.0 (Alta), podría permitir a usuarios con bajos privilegios acceder a páginas no autorizadas, como registros de usuarios y del sistema. Esta brecha podría exponer información sensible, detalles de cuentas de usuario y registros de auditoría, sentando las bases para ataques posteriores o acciones administrativas no autorizadas.

Medidas correctivas y de mitigación

Johnson Controls recomienda encarecidamente a los usuarios actualizar sus sistemas a las versiones no vulnerables: C-CURE 9000 v3.20 o superior, Victor Application Server v4.20 o superior, y Victor v8.0 o superior.

Además de las actualizaciones, la compañía sugiere una serie de medidas defensivas para reducir la superficie de ataque, incluyendo la implementación de reglas estrictas de firewall para bloquear conexiones entrantes innecesarias al puerto 8999 desde segmentos de red no confiables. También se recomienda el despliegue de sistemas de detección/prevención de intrusiones (IDS/IPS) configurados para identificar patrones de explotación de deserialización .NET, la aplicación de listas blancas para ejecutables, la ejecución de procesos con el mínimo de privilegios, el monitoreo y auditoría detallados de la creación de procesos anómalos, y la desactivación de servicios innecesarios como la interfaz ClientConnectionManager_NF.SynchronousServerNotification.

Aunque no se ha reportado explotación pública conocida de estas vulnerabilidades hasta la fecha, la gravedad de los fallos subraya la importancia de aplicar estas actualizaciones y mitigaciones de forma proactiva para proteger los sistemas de control y la seguridad física.