Was betroffen ist
Die US-Behörde CISA hat eine Sicherheitsmeldung veröffentlicht, die kritische Schwachstellen in der Johnson Controls EasyIO FG Serie aufdeckt. Die Betroffenen Geräte sind Steuerungen für Gebäudeautomationssysteme (BAS) und OT-Umgebungen. Die Schwachstellen betreffen Geräte mit Firmware-Versionen bis einschließlich 2.0b52. Die Produkte sind seit dem Jahr 2019 nicht mehr hergestellt oder verkauft worden und befinden sich im End-of-Life (EOL) und End-of-Support (EOS). Die Herstellerquelle ist nicht mehr verfügbar, sodass keine Firmware-Patches oder Code-Fixes veröffentlicht werden können.
Die Schwachstellen sind vom Typ „Use of Hard-coded Credentials“ (Verwendung von fest eingebetteten Anmeldedaten) und „Improper Privilege Management“ (unzureichende Rechteverwaltung). Die Schwachstellen tragen die CVE-IDs CVE-2026-27872 und CVE-2026-27873. Der CVSS-Score beträgt 7,7 (hoch kritisch). Die Geräte werden in den Sektoren Critical Manufacturing, Commercial Facilities, Government Services and Facilities, Transportation Systems und Energy eingesetzt.
Welches Risiko besteht
Ein Angreifer, der über den Netzwerkzugang (Internet oder LAN) auf das Gerät zugreifen kann, könnte diese Schwachstellen ausnutzen, um sich vollständig und unbefugt auf das Gerät einzuloggen. Dies würde bedeuten, dass der Angreifer über Kontrolle der Gerätefunktionen (z. B. Heizungs-, Lüftungs- und Klimaregler) in der OT-Umgebung verfügen würde. Die Schwachstellen sind besonders kritisch, da sie sich auf altes, nicht mehr unterstütztes Equipment beziehen, das in kritischen Infrastrukturen eingesetzt wird.
Was jetzt zu tun ist
Die Herstellerhinweise sind klare Handlungsanweisungen: Die EasyIO FG Serie ist End-of-Life und -Support. Es gibt keine Firmware-Patches oder Code-Fixes. Die einzige empfohlene Maßnahme ist, das Gerät durch eine unterstützte aktuelle Generation (z. B. EasyIO Neo R1 Series) zu ersetzen.
Zusätzlich sollten folgende allgemein anerkannte OT-Schutzmaßnahmen beachtet werden:
- Das Gerät nur in isolierten BAS/OT-Netzwerken betreiben.
- Kein direkter Internetzugang für Steuerungen gewähren.
- Netzwerke durch strikte VLAN-Segmentierung vom Enterprise IT-Netzwerk trennen.
- Fernzugriff nur über abgesicherte, verschlüsselte VPNs ermöglichen.
- Patchstände und Assets Inventar prüfen, um die Anzahl der betroffenen Geräte zu bestimmen.
Fazit
Die CISA-Meldung unterstreicht, dass auch altes, nicht mehr unterstütztes Equipment in kritischen Infrastrukturen potenzielle Risiken birgt. Die Schwachstellen in der Johnson Controls EasyIO FG Serie stellen ein hohes Risiko dar, da sie von Angreifern ausgenutzt werden können, um unbefugten Zugriff auf kritische OT-Systeme zu erlangen. Die einzige langfristige Lösung ist der Wechsel auf unterstützte, aktuelle Geräte. Im Falle von altem Equipment ist die Einhaltung strikter Netzwerkschutzmaßnahmen und der Ausschluss von Internetzugriff unverzichtbar.
Auf einen Blick
- Advisory: ICSA-26-279-01
- Produkt: Johnson Controls EasyIO FG
- CVSS: v3 7.7
- CVE: CVE-2026-27872, CVE-2026-27873
Quelle: ICSA-26-279-01 (CISA, englisch)