Das Zutrittskontrollsystem, das selbst Zutrittskontrolle braucht: Johnson Controls C-CURE 9000 (ICSA-26-204-01)

Die Kurzfassung

Mit ihrem August-Update hat die CISA ICSA-26-204-01 (Update A) für Johnson Controls C-CURE 9000 und den victor Application Server veröffentlicht, die Software, die Zutrittskontrolle und Videomanagement in Gewerbeobjekten, auf Campus-Geländen und an behördlichen Standorten betreibt. Die Kernschwachstelle CVE-2026-21655 ist ein unsicherer Deserialisierungs- und Server-Side-Request-Forgery-Pfad, der zu Remote Code Execution führt, mit einem CVSS-v3-Basiswert von 9.6. Ein zweites Problem, CVE-2026-34496, betrifft victor Web.

Es liegt hier eine saubere Ironie, bei der man einen Moment verweilen sollte. Das System, um das es in der Meldung geht, ist genau jenes, das entscheidet, wer durch die Tür kommt und was die Kameras aufzeichnen. Und die Art, es über den Patch hinaus abzusichern, besteht darin, Zutrittskontrolle vor Ihren Zutrittskontroll-Server zu stellen.

Der eine Satz, der das Risiko entscheidet, stammt von der CISA selbst: Eine erfolgreiche Ausnutzung könnte es einem Angreifer mit Netzwerkzugang ermöglichen, Remote Code Execution zu erreichen. Netzwerkzugang ist die gesamte Voraussetzung. Und genau das haben Sie in der Hand.

Was die Meldung sagt

Direkt aus der Meldung und den CVE-Einträgen:

• Produkte: Johnson Controls C-CURE 9000 (Zutrittskontrolle) und victor (Videomanagement), einschließlich victor Application Server und victor Web.
• Die Schwachstellen: CVE-2026-21655, ein unsicherer Deserialisierungs- und SSRF-Pfad, der zu Remote Code Execution führt, sowie CVE-2026-34496 in victor Web.
• Betroffene Versionen: C-CURE 9000 bis v3.10.1, victor Application Server bis v4.10, victor bis v7.0 (CVE-2026-21655) und victor Web bis v7.1 (CVE-2026-34496).
• Schweregrad: CVSS v3 bis zu 9.6.
• Wie es erreicht wird: ein Angreifer, der eine Netzwerkverbindung zum Server aufbauen kann. RCE ist das Ergebnis.
• Behebung: Johnson Controls hat korrigierte Versionen veröffentlicht, zum Beispiel C-CURE 9000 v3.20 oder höher und victor Application Server v4.20 oder höher. Die CISA ergänzt ihre übliche ICS-Empfehlung: das System vom öffentlichen Internet fernhalten, es vom Unternehmensnetzwerk isolieren und Remote-Zugriff über einen kontrollierten Pfad führen.

Die CISA hat keine Ausnutzung in freier Wildbahn gemeldet. Lesen Sie es als Exposition, die zu schließen ist, nicht als Feuer, das zu löschen ist.

Warum das immer wieder passiert

Physical-Security-Systeme sind still und leise zu IT-Servern geworden, die zufällig Türen und Kameras betreiben. C-CURE 9000 und victor sind Windows-basierte Anwendungen mit Datenbanken, Web-Frontends und Netzwerkdiensten, die in einem Werks- oder Campusnetz stehen, oft von einem größeren Teil dieses Netzes erreichbar, als jemand jemals beabsichtigt hat. Sie tragen dieselben Klassen von Schwachstellen wie jede Unternehmensanwendung, Deserialisierung, SSRF, Rechteprobleme, und sie werden im Zyklus des Herstellers gepatcht, nicht in Ihrem.

Das Problem liegt daran, wer sie üblicherweise betreut. Zutrittskontrolle und Videoüberwachung werden häufig vom Facility-Management oder einem Physical-Security-Team betrieben, nicht von der OT- oder IT-Sicherheitsgruppe, und der Rechner landet auf einem flachen Segment mit breiter Erreichbarkeit, weil das der schnellste Weg war, die Ausweisleser und Kameras zum Laufen zu bringen. Wenn also eine 9.6 auftaucht, ist die erreichbare Angriffsfläche meist deutlich größer, als sie sein müsste.

Was tatsächlich ausgenutzt wird

Unter der CVE-Liste ist das Risiko offensichtlich. Ein Angreifer erreicht einen Server, der niemals breit erreichbar hätte sein dürfen, und schickt ihm eine präparierte Anfrage. Bei einem Deserialisierungs-zu-RCE-Pfad ist das nahezu der gesamte Angriff. Kein gestohlener Ausweis, keine Zero-Day-Kette. Netzwerkerreichbarkeit und ein fehlerhaftes Payload, und schon läuft Code auf dem Host, der die Türen und das Video regiert.

Die Frage, die es sich in Ihrem eigenen Netzwerk zu stellen lohnt, ist also nicht nur, ob C-CURE 9000 gepatcht ist. Sie lautet, was aktuell eine Verbindung zu den Zutrittskontroll- und Video-Servern aufbauen kann, und ob Sie es bemerken würden, falls etwas es täte. In einem flachen Facility-Netz lautet die Antwort meist alles im Subnet, und nein.

Die Kontrolle, die es wirklich eingrenzt

Sie schließen das, ohne auf den Patch zu warten, indem Sie die Server nur noch über einen Durchsetzungspunkt erreichbar machen.

Ein industrieller Proxy sitzt im Zugriffspfad zu den C-CURE-9000- und victor-Servern und vermittelt jede Sitzung, die sie erreicht. In der Praxis:

• Die Server antworten nicht mehr auf beliebige Clients im Subnet. Der einzige Weg zu ihnen führt über eine Sitzung, die der Proxy bereits authentifiziert hat, sodass eine netzwerkerreichbare RCE genau das verliert, was sie am dringendsten braucht, einen nicht authentifizierten Aufrufer auf der Leitung.
• Jede Sitzung ist an eine namentlich benannte Person oder einen Dienst gebunden, auf die Aufgabe zugeschnitten, mit MFA am Proxy. Nichts am Johnson-Controls-Stack wird verändert, also muss dafür nichts neu validiert oder neu gestartet werden, damit es hält.
• Jede Sitzung, die die Server berührt, wird protokolliert, sodass "würden wir es merken" endlich eine Antwort hat.
• Es installiert nichts auf den Servern. Es ist ein Industrial-DMZ-Conduit, heruntergebrochen auf die Physical-Security-Zone, und die Zugriffsseite ist sicherer OT- und Hersteller-Remote-Zugriff für die Integratoren, die diese Systeme betreuen.

Das ersetzt das Upgrade nicht. Spielen Sie die korrigierten Versionen von Johnson Controls ein, wenn Ihr Änderungsprozess es zulässt. Was Ihnen der Durchsetzungspunkt verschafft, ist Zeit, die der Patch nicht bieten kann: Die Exposition ist jetzt geschlossen, sie bleibt geschlossen bis zur nächsten Physical-Security-CVE, von der Sie noch nichts gelesen haben, und nichts davon hängt vom Wartungsfenster eines Facility-Teams ab. Die Mechanik steht in was ein industrieller Proxy ist, und die Audit-Seite in OT-Mikrosegmentierung mit SIEM-Integration.

Womit Sie diese Woche anfangen

1. Lokalisieren Sie jeden C-CURE-9000- und victor-Server und notieren Sie, welche Segmente aktuell eine Verbindung zu ihnen aufbauen können. Facility-betriebene Systeme übersieht man leicht.
2. Stellen Sie sicher, dass die Server weder aus dem Unternehmensnetzwerk noch aus dem Internet erreichbar sind. Falls doch, schließen Sie das zuerst.
3. Spielen Sie das Upgrade von Johnson Controls über Ihren normalen Änderungsprozess ein und verfolgen Sie es, aber lassen Sie das Patch-Datum nicht das Einzige sein, was zwischen einem netzwerkerreichbaren Client und einer RCE steht.
4. Verlagern Sie die Zutrittskontroll- und Video-Server hinter einen Durchsetzungspunkt, sodass der Zugriff identitätsgebunden, auf geringstmögliche Rechte beschränkt und aufgezeichnet ist, auch für die Integratoren, die sie warten.
5. Führen Sie dieselbe Prüfung für den Rest des Building-Automation-Stacks durch. Die nächste Meldung wird ein anderes Physical-Security-Produkt nennen, und die Antwort wird sich nicht ändern.

ICSA-26-204-01 ist ein guter Anlass, etwas Grundlegenderes als einen einzelnen Server zu beheben. Das System, das die Türen steuert, ist immer noch nur ein Server in Ihrem Netzwerk, und in der OT bekommen Sie selten die Gelegenheit, die Schwachstelle nach Ihrem eigenen Zeitplan zu patchen. Also legen Sie stattdessen fest, was ihn überhaupt erreichen darf.