Im Sicherheitsflur steht eine Maschine, die eigentlich „du kommst hier nicht rein“ sagen soll. Nun räuspert sie sich, zieht am eigenen Türgriff und fragt den Serverraum, ob zufällig jemand eine Klinke übrig hat.
CISA hat unter ICSA-26-204-01 eine Warnung zu Johnson Controls C-CURE 9000 und dem Victor application server veröffentlicht. Der amtliche Kern ist nicht klein: Erfolgreiche Ausnutzung könne Angreifern mit Netzwerkzugang unter Umständen Remote Code Execution ermöglichen. Betroffen genannt werden C-CURE 9000 und Victor bis einschließlich v2.90_v3.0 sowie Victor Web bis einschließlich v7.1.
Wenn die Zutrittskontrolle zu freundlich wird
Drei CVEs liegen auf dem Werktisch. CVE-2026-21655 beschreibt laut CISA eine Lage, in der ein unauthentifizierter Angreifer im benachbarten Netz Code auf C-CURE- oder Victor-Servern und verbundenen Clients ausführen könnte. Das ist in physischer Sicherheit besonders unlustig, weil an solchen Maschinen nicht nur hübsche Dashboards hängen, sondern Türen, Wachplätze und Abläufe mit realem Gewicht.
CVE-2026-21653 dreht sich um serverseitig geschmiedete HTTP-Anfragen aus Victor Web heraus. In sauberer Bürokratiesprache heißt das SSRF; in Blechpresse-Sprache: Die Maschine schreibt sich selbst einen Laufzettel und glaubt ihm auch noch. CISA nennt als mögliche Folgen unbefugte Informationsabflüsse oder seitliche Bewegung im lokalen Netz.
Der Pförtner hat zu viele Schlüssel
Die dritte Schraube, CVE-2026-34496, betrifft laut Advisory den Zugriff niedrig privilegierter Nutzer auf Seiten wie Benutzer und Logs. Das klingt erst nach „nur gucken“, aber wer in Sicherheitsanlagen Benutzerlisten, Protokolle und Systemdetails sieht, steht oft schon mit einem Fuß im nächsten Raum.
Johnson Controls empfiehlt laut CISA unter anderem Updates: C-CURE 9000/Victor auf Version 3.20 oder neuer für den betreffenden Deserialisierungspfad, Victor Web auf Version 7.0 oder neuer für die Web-Lücken. Dazu kommen die üblichen, aber hier nicht dekorativen Blechteile: Segmentierung, strenge Firewall-Regeln, Einschränkung unnötiger Dienste, IDS/IPS gegen bekannte .NET-Deserialisierungsmuster, Whitelisting, weniger Privilegien und besseres Monitoring auf verdächtige Prozessstarts.
Die Blechkante
Die gute Nachricht ist: CISA schreibt, dass ihr keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstellen gemeldet wurde. Die schlechte Nachricht: Das ist kein Ruhekissen, sondern nur der Zettel auf der Werkbank, bevor jemand den Schraubenschlüssel findet.
Physische Sicherheitssysteme sind keine hübsch lackierten Inseln. Wenn der Türserver zu viel Vertrauen, zu viele Rechte und zu wenig Segmentierung bekommt, hält am Ende nicht die Klinke den Angreifer draußen. Dann hält sie ihm die Tür auf.