Im Gebäudekeller steht ein Portal mit Zähnen. Es sieht aus wie eine Mischung aus Zeiterfassung, Dokumentenschlucker und sehr müdem Aufzugsknopf. Vorn schiebt jemand eine Datei hinein, hinten knistert es nach JavaScript. Genau da wird aus Bürosoftware plötzlich Werkstattliteratur.
CISA hat am 30. Juli 2026 das Advisory ICSA-26-211-02 zu Johnson Controls OpenBlue Employee veröffentlicht. Betroffen ist laut Advisory OpenBlue Employee (FMS Employee) bis einschließlich V2025.3.1. Der Satz klingt nach Gebäudemanagement, nach Zutrittskarte, Kalender, vielleicht Kantinenkaffee. In der Sicherheitswerkstatt liegen aber drei Schrauben auf dem Boden: CVE-2026-21662, CVE-2026-34495 und CVE-2026-34497.
Der Upload frisst mehr, als gut für ihn ist
Die erste Schwachstelle beschreibt CISA als Unrestricted Upload of File with Dangerous Type. In Blechdeutsch: Der Dateischlucker fragt nicht sauber genug, was da eigentlich durch seine Rollen läuft. Angreifer können Dateien mit gefährlichen Inhaltstypen einreichen; CISA erwähnt vorhersehbare Speicherorte und mögliche weitere Ausnutzung gegen Anwendung oder Nutzer.
Das ist nicht der Kinomoment mit Kapuze und grünen Zahlen. Das ist eher die Klappe am Mitarbeitersystem, die sagt: „Nur Unterlagen bitte“, während sie nebenbei auch eine kleine Giftsäge annimmt. Wer Uploads betreibt, muss nicht nur Papierstapel lieben, sondern Misstrauen pflegen. Dateitypen, Pfade, Berechtigungen, Abrufbarkeit — das sind die Schrauben, die nicht in der Kaffeeküche liegen dürfen.
XSS im Aktenschrank
Die beiden weiteren CVEs drehen sich um gespeichertes Cross-Site-Scripting und HTML-Injection. CISA beschreibt unsaubere Behandlung von Eingaben, wodurch bösartiger JavaScript-Code oder HTML-Inhalte gespeichert und später anderen Nutzern präsentiert werden können. In der Werkstatt heißt das: Einer steckt einen Funken in den Aktenschrank, und der nächste, der die Schublade öffnet, bekommt ihn ins Gesicht.
Die CVSS-Werte sind auf der klassischen 3.1-Skala mit 2.4 niedrig, unter CVSS 4.0 tauchen 4.8 beziehungsweise 5.1 als mittlere Werte auf. Das ist kein Sirenenchor, aber auch kein Staubkorn. Mitarbeiterportale hängen gern an Identität, Berechtigungen und Alltag. Genau dort werden kleine Eingabefehler schnell zu zähen Betriebsgeräuschen.
Patchwalze, WAF-Gitter, weniger Internetluft
Johnson Controls empfiehlt laut CISA das Einspielen des aktuellen Produktupdates für OpenBlue Employee. Zusätzlich nennt das Advisory mehrere pragmatische Geländer: Zugriff nur für autorisierte Nutzer, starke Authentifizierung, die Einstellung Do Not Show Files, wenn die Funktion nicht aktiv gebraucht wird, Web Application Firewall, Prüfung und Entfernung verdächtiger Inhalte sowie weniger Internet-Exponierung durch vertrauenswürdige Netze oder VPN.
Das klingt alles unspektakulär, weil gute Abwehr selten dramatisch aussieht. Sie steht eher als Gitter vor dem Schlucker, als Türsteher vor der Uploadklappe und als Patchwalze neben dem Papierstapel. Aber genau diese langweiligen Teile verhindern, dass ein Mitarbeitersystem zur kleinen Skriptpresse im Gebäudekeller wird.
CISA schreibt außerdem, dass derzeit keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstellen gemeldet sei. Das ist die gute Nachricht. Die andere ist dieselbe wie immer: Keine Ausnutzung gemeldet heißt nicht, dass der Dateischlucker jetzt ohne Aufsicht weiterkauen darf.
Quellen
- https://www.cisa.gov/news-events/ics-advisories/icsa-26-211-02
- https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/OT/white/2026/icsa-26-211-02.json
- https://www.cve.org/CVERecord?id=CVE-2026-21662
- https://www.cve.org/CVERecord?id=CVE-2026-34495
- https://www.cve.org/CVERecord?id=CVE-2026-34497
- https://cwe.mitre.org/data/definitions/434.html
- https://cwe.mitre.org/data/definitions/79.html
- https://cwe.mitre.org/data/definitions/80.html
- https://www.johnsoncontrols.com/trust-center/cybersecurity/security-advisories