Johnson Controls EasyIO FG

مبنای خبر: خلاصه‌ای از اطلاعیه CISA و راهنمای امنیتی Johnson Controls. دو آسیب‌پذیری با شناسه‌های CVE-2026-27872 و CVE-2026-27873 در دستگاه‌های Johnson Controls EasyIO FG (نسخه‌های firmware <=2.0b52) شناسایی شده‌اند که می‌توانند از طریق استفاده از اعتبارنامه‌های ثابت/سخت‌کدشده و مدیریت نامناسب سطوح دسترسی، منجر به دسترسی کامل غیرمجاز و در نتیجه تسخیر کامل دستگاه شوند. هر دو مورد دارای امتیاز بالا (CVSS v3.1 7.7) گزارش شده‌اند. پژوهشگران گزارش‌دهنده: Gabriele Gardois، Zachary Bushell و Lorenzo De Carli (University of Calgary).

وضعیت و پیامدها: Johnson Controls اعلام کرده EasyIO FG پیش از 2019 تولید و فروخته نشده و اکنون در وضعیت End-of-Life/End-of-Support قرار دارد؛ کد منبع در دسترس نیست و وصلهٔ فریم‌ور ارائه نخواهد شد. CISA یادآوری کرده که تا کنون هیچ سوء‌استفادهٔ عمومیِ شناخته‌شده‌ای گزارش نشده و این آسیب‌پذیری‌ها «پیچیدگی حملهٔ بالا» دارند و به‌صورت راه‌دور (remote) قابل بهره‌برداری مستقیم گزارش نشده‌اند، اما در صورت دسترسی محلی یا شبکه‌ای می‌توانند تأثیرات فنی یا عملیاتی قابل‌توجهی ایجاد کنند. بخش‌های حساس گزارش‌شده شامل صنایع تولیدی حیاتی، اماکن تجاری، خدمات و تأسیسات دولتی، سیستم‌های حمل‌ونقل و انرژی است.

توصیه‌های عملی (بر پایهٔ منابع اصلی): از آن‌جا که وصله وجود ندارد، تمرکز باید بر کاهش سطح حمله و جایگزینی باشد. اقدامات پیشنهادی شامل جدا کردن دستگاه‌ها در شبکه‌های BAS/OT ایزوله، جلوگیری از در معرض اینترنت قرار گرفتن مستقیم، اعمال بخش‌بندی VLAN از شبکهٔ سازمانی، محدود کردن دسترسی به ایستگاه‌های کاری مهندسی مورد اعتماد، مسدودکردن دسترسی‌های ورود از شبکه‌های غیرقابل‌اعتماد، اعمال لیست سفید آدرس‌های IP مجاز، غیرفعال‌سازی سرویس‌های ناامن (مثلاً Telnet) و هر سرویس یا پورت غیرضروری، مانیتورینگ لاگ‌ها و تلاش‌های ورود، جلوگیری از جابجایی جانبی غیرمجاز در شبکه و محدود کردن پروتکل‌ها و توزیع تصاویر فریم‌ور. همچنین Johnson Controls توصیه به مهاجرت به محصولات نسل فعلی (مثلاً EasyIO Neo R1 Series) کرده است. برای جزئیات دقیق‌تر به اطلاعیهٔ Johnson Controls (JCI-PSA-2026-12) مراجعه کنید.

تحلیل مستقل مختصر: وجود اعتبارنامه‌های سخت‌کدشده و مدیریت ناصحیح امتیازات در دستگاهی که اکنون EOL شده و برای آن پچ عرضه نمی‌شود، ریسک عملیاتی قابل‌توجهی ایجاد می‌کند. اگرچه نبود قابلیت اکسپلویت راه‌دور و پیچیدگی حمله تا حدی خطر را کاهش می‌دهد، اما در محیط‌های صنعتی یا ساختمان‌های بزرگ که دسترسی شبکه‌ای محلی یا از طریق مدیریت ضعیف وجود دارد، تسخیر دستگاه می‌تواند به بُعدهای کنترل فرآیند و سرویس‌های زیرساختی آسیب بزند. اولویت فوری باید شناسایی کلیه دستگاه‌های EasyIO FG در شبکه، حذف یا ایزولهٔ آن‌ها، اجرای قاعده‌های دسترسی محدود و برنامه‌ریزی برای جایگزینی با تجهیزات پشتیبانی‌شده باشد. این خلاصه براساس اطلاعیهٔ CISA و اعلامیهٔ Johnson Controls تهیه شده است.