Die Kurzfassung
Am 20. August 2026 veröffentlichte CISA ICSA-26-232-01 für den Johnson Controls Simplex Incident Manager und republizierte damit das Johnson Controls Product Security Advisory JCI-PSA-2026-28. Der Befund, CVE-2026-27875, besagt, dass die Anwendung Benutzeranmeldedaten, Passwörter und Authentifizierungstoken im Klartext im Systemspeicher hält, während sie läuft. Jeder mit lokalem Zugriff und einem Speicherauszugswerkzeug kann sie lesen.
Die Bewertung lautet CVSS v3.1 5.8, mittel. Die Schwachstelle ist nicht aus der Ferne ausnutzbar, weist hohe Angriffskomplexität auf, und CISA meldet keine bekannte öffentliche Ausnutzung. In einer normalen Woche wäre das eine Randnotiz.
Lesen Sie es trotzdem, und lesen Sie es wegen der Schwachstellenklasse, nicht wegen des Scores. Credential Harvesting ist nie der erste Schritt bei einem Einbruch. Es ist der zweite. Der Score spiegelt wider, wie schwer die Schwachstelle zu erreichen ist; er sagt nichts darüber aus, was als Nächstes passiert, wenn der Angreifer bereits das hat, was er braucht, um sie zu erreichen.
Was das Advisory besagt
Direkt aus dem Advisory und dem CSAF-Datensatz:
- Produkt: Johnson Controls Simplex Incident Manager. Simplex ist die Marke von Johnson Controls für Branderkennung und Lebensschutz.
- Betroffene Versionen: v2.01 und früher.
- Die Schwachstelle: CVE-2026-27875, CWE-316, Klartextspeicherung sensibler Informationen im Speicher. Die Anwendung „speichert Benutzeranmeldedaten (wie Passwörter und Authentifizierungstoken) in unverschlüsselter Form im Systemspeicher, während sie läuft."
- Wer sie ausnutzen kann: laut CISA „jeder mit lokalem Zugriff auf das System, einschließlich Angreifern, die Speicherauszugswerkzeuge nutzen, oder Insidern mit erhöhten Rechten."
- Schweregrad: CVSS v3.1 Basis-Score 5.8, Vektor
AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:L. Auswirkung auf die Vertraulichkeit ist Hoch; Integrität und Verfügbarkeit sind Niedrig. - Ausnutzungsstatus: nicht aus der Ferne ausnutzbar, hohe Angriffskomplexität, keine bekannte öffentliche Ausnutzung an CISA gemeldet.
- Gemeldet von: Johnson Controls, an CISA. Dies ist eine Selbstoffenbarung des Herstellers, kein externer Forschungsbefund.
- Behobene Version: v2.01.01.
- Genannte Sektoren: Kritische Fertigung, Gewerbliche Einrichtungen, Regierungsdienste und -einrichtungen, Transportsysteme, Energie. Weltweiter Einsatz.
Eine Sache, die vor dem Erstellen des Upgrade-Tickets zu prüfen ist
Der veröffentlichte Mitigationstext von CISA enthält einen internen Widerspruch. Er gibt an, dass Johnson Controls „eine gepatchte Version (v2.01.01) veröffentlicht hat", und sagt dann in der unmittelbar darunter stehenden Liste der Schutzmaßnahmen: „Upgrade des Simplex Incident Manager auf Version v1.01.05 oder höher."
Beides kann nicht gleichzeitig richtig sein. Der betroffene Bereich ist v2.01 und früher, sodass v1.01.05 innerhalb des verwundbaren Bereichs liegt, nicht darüber. Ein Leser, der die zweite Zeile wörtlich befolgt, würde einen älteren Build installieren und das Problem als behoben vermerken. Behandeln Sie v2.01.01 als Zielversion und bestätigen Sie dies anhand von JCI-PSA-2026-28, bevor Sie die Arbeit einplanen.
Dies ist erwähnenswert, weil Advisory-Text wörtlich in Change-Tickets übernommen wird und eine falsche Versionsnummer in einem Ticket deutlich länger überlebt als eine falsche Versionsnummer auf einer Webseite.
Warum ein 5.8 zehn Minuten wert ist
CVSS beantwortet eine Frage gut: Wie schwer ist das zu erreichen? Eine andere Frage beantwortet es schlecht: Wie viel Schaden richtet es an, wenn es einmal erreicht ist?
Der Vektor hier besagt: lokaler Zugriff, bereits niedrige Rechte vorhanden, hohe Angriffskomplexität. Im Sinne des Schwachstellenmanagements ist das eine komfortable Position. Im Sinne eines Einbruchs beschreibt es einen Angreifer, der sich bereits auf dem Host befindet, also in der gewöhnlichen Mitte jedes realen Vorfalls. Niemand erreicht einen Credential-Speicher als ersten Schritt. Sie erreichen ihn nach dem Phishing eines Ingenieurs, nach einem Auftragnehmer-Laptop, nach einem ungepatchten Edge-Dienst. Und was sie an diesem Punkt suchen, ist genau das: ein wiederverwendbares Geheimnis, das sie zum nächsten System bringt.
Das ist der Grund, warum diese Klasse von Befunden für einen Angreifer unverhältnismäßig nützlich ist, gemessen an ihrem Score. Eine Remote-Code-Execution-Schwachstelle gibt Ihnen eine Maschine. Ein geernteter Satz von Anmeldedaten gibt Ihnen jede Maschine, die sie akzeptiert. Die Auswirkung auf die Vertraulichkeit ist hier aus gutem Grund als Hoch eingestuft, auch wenn der Gesamtscore im mittleren Bereich liegt.
Dazu kommt die Sektorliste. CISA ordnet dieses Produkt den Bereichen Energie, Transportsysteme, Kritische Fertigung, Regierungsdienste und -einrichtungen sowie Gewerbliche Einrichtungen zu. Lebensschutz- und Incident-Management-Software wird tendenziell genau an den Standorten eingesetzt, an denen ein Betreiber am wenigsten Toleranz für Ausfallzeiten und am wenigsten dediziertes OT-Sicherheitspersonal hat.
Das eigentliche Problem: Anmeldedaten, die die Sitzung überdauern
CWE-316 ist kein exotischer Fehler. Viele Anwendungen halten Geheimnisse im Speicher, weil sie diese für die Weiterauthentifizierung benötigen, und es besser zu machen erfordert bewusstes Engineering: Geheimnisse in geschütztem Speicher halten, den Puffer unmittelbar nach der Verwendung nullen, statt eines Passworts ein kurzlebiges Token verwenden, das Passwort überhaupt nie zwischenspeichern.
Das strukturelle Problem ist nicht, dass eine Anwendung dies falsch gemacht hat. Es ist, dass die Anmeldedaten langlebig, wiederverwendbar und an anderer Stelle wiedereinspielbar waren. Entfernen Sie diese drei Eigenschaften, und ein Speicherauszug liefert etwas nahezu Wertloses.
Dies ist dasselbe Argument, das durch die meisten OT-Identitätsfehler zieht, und wir haben es aus anderen Blickwinkeln beschrieben: warum Ihr OT-Netzwerk keine Identitätsschicht hat, wie man Passwörter auf Hunderten von ICS-Geräten verwaltet und MFA für Service-Accounts und industrielle Geräte. In jedem Fall ist die dauerhafte Lösung dieselbe: Hören Sie auf, Geheimnisse zu verteilen, die es wert sind, gestohlen zu werden.
Was die empfohlenen Mitigationen tatsächlich bewirken
Johnson Controls und CISA listen sechs Maßnahmen auf. Sie sind alle vernünftig, und es lohnt sich, genau zu sein, was jede einzelne bringt, denn sie sind nicht gleichwertig.
| Empfohlene Maßnahme | Was sie tatsächlich verhindert | Einschränkung |
|---|---|---|
| Upgrade auf v2.01.01 | Die Anmeldedaten liegen nicht mehr im Klartext vor | Erfordert ein Change-Fenster; bewirkt nichts für bereits geerntete Anmeldedaten |
| Lokalen Zugriff auf autorisiertes Personal beschränken | Verkleinert die Menge der Konten, die den Speicher erreichen können | Stoppt keinen Angreifer, der ein autorisiertes Konto kompromittiert hat |
| Endpoint-Schutz und Überwachung auf Speicherauszugswerkzeuge | Erkennt die gängigen Werkzeuge | Erkennung, keine Prävention, und übersieht Living-off-the-Land-Techniken |
| Least Privilege auf Host-Systemen | Erhöht die Hürde für den Erwerb der benötigten lokalen Rechte | Das Advisory stellt fest, dass niedrige Rechte bereits ausreichen |
| Vollständige Festplattenverschlüsselung und Secure Boot | Blockiert die Offline-Analyse der Maschine | Irrelevant, während das System läuft, also genau dann, wenn der Speicher die Geheimnisse enthält |
| Audit-Protokollierung lokaler Zugriffsversuche | Liefert die Beweisspur im Nachhinein | Rein retrospektiv |
Beachten Sie, was die Liste gemeinsam hat: Jeder Punkt außer dem Upgrade betrifft den Schutz des Hosts. Keiner adressiert das, was die Anmeldedaten wertvoll macht, nämlich dass sie anderswo funktionieren.
Die fehlende Maßnahme
Fügen Sie einen siebten Punkt hinzu, den CISA nicht auflistet, weil er architektonischer Natur ist und nicht produktspezifisch: Machen Sie die geernteten Anmeldedaten außerhalb des Hosts nutzlos.
Konkret bedeutet das drei Eigenschaften:
- Begrenzt (Scoped). Das auf dieser Maschine verwendete Konto authentifiziert sich gegenüber dieser Maschine und nichts weiter. Es ist kein Domain-Konto mit Reichweite ins Steuerungsnetzwerk, und es wird nicht mit dem Historian, dem HMI oder der Engineering-Workstation geteilt.
- Vermittelt (Brokered). Jede Verbindung von diesem Host zu einem anderen System erfordert eine neue Sitzung, die über ein Gateway hergestellt wird, das eine eigene Identitätsprüfung durchführt. Der Besitz eines Passworts reicht nicht aus, um eine solche zu öffnen.
- An einen zweiten Faktor gebunden (Second-factor bound). Die Sitzung erfordert einen Faktor, den der Angreifer nicht aus dem Speicher erhalten hat. Ein aus einem Prozess extrahiertes Passwort und Token erzeugen allein keine authentifizierte Sitzung anderswo.
Unter diesen drei Eigenschaften gelingt der Speicherauszug weiterhin, und er liefert weiterhin Klartextanmeldedaten. Er führt nur nirgendwo hin. Der Schadensradius schrumpft von „jedes System, das diesem Passwort vertraut" auf „dieser Host, den Sie bereits hatten."
Das ist der ehrliche Test für jede kompensierende Kontrolle bei diesem Advisory: Sie verhindert nicht die Extraktion, sie beseitigt den Nutzen.
Das Eigentümerproblem, erneut
Vor acht Tagen veröffentlichte CISA ICSA-26-204-01 für Johnson Controls C-CURE 9000 und victor, einen CVSS 9.6 Remote-Code-Execution-Pfad in Gebäudezugangskontrolle und Videoverwaltung. Gleicher Hersteller, gleiche Kategorie von Systemen, gleiche Grundsituation: Physische Sicherheits- und Lebensschutzsoftware ist zu gewöhnlicher IT-Infrastruktur geworden, die zufällig Türen, Kameras und Brandschutzmaßnahmen steuert.
Und sie wird tendenziell von Facility-Teams verwaltet, nicht von IT- oder OT-Sicherheitsteams. Diese Eigentümerlücke erzeugt einen vorhersehbaren Satz von Bedingungen: Der Host sitzt auf einem breiten Segment, weil das der schnellste Weg war, ihn zum Laufen zu bringen; er wird nach dem Herstellerzyklus gepatcht, nicht nach einem Sicherheitszyklus; seine Service-Accounts sind praktisch statt begrenzt; und er fehlt im Asset-Inventar, das das Sicherheitsteam tatsächlich pflegt.
Zwei Advisories in acht Tagen für die Gebäudesysteme eines Herstellers ist ein vernünftiger Anlass zu prüfen, ob diese Systeme überhaupt in Ihrem Inventar erscheinen. Wenn Sie sich nicht sicher sind, ist das der Befund, und passives Discovery wird Ihnen schneller Antworten liefern als Nachfragen.
Was diese Woche zu tun ist
- Stellen Sie fest, ob Sie den Simplex Incident Manager betreiben, und in welcher Version. Wenn er nicht in Ihrem Asset-Inventar steht, ist das ein zweiter Befund.
- Planen Sie das Upgrade auf v2.01.01 ein. Verwenden Sie diese Versionsnummer, nicht v1.01.05, die in der Migrationsliste des Advisories erscheint.
- Ermitteln Sie, worauf die Konten auf diesem Host Zugriff haben. Das sind die wertvollsten zehn Minuten der gesamten Übung. Wenn diese Anmeldedaten auch gegen einen Controller, einen Historian oder die Domain funktionieren, ist der Befund mit mittlerem Schweregrad in Ihrer Umgebung nicht mittel.
- Begrenzen Sie diese Konten auf den Host, und entfernen Sie alle gemeinsam genutzten oder wiederverwendeten Geheimnisse.
- Fordern Sie eine vermittelte, MFA-gesicherte Sitzung für alles, was von diesem Host zu einem anderen System verbindet.
- Beschränken und protokollieren Sie den lokalen Zugriff auf die Maschine gemäß der Herstellerempfehlung.
- Prüfen Sie den Rest des Gebäudesystem-Bestands auf dasselbe Muster gemeinsamer Anmeldedaten und breiter Erreichbarkeit. Das Advisory betrifft ein Produkt; das Muster selten.
Wo Trout Access Gate passt
Access Gate behebt CVE-2026-27875 nicht. Nichts im Netzwerk kann Klartext im eigenen Speicher einer Anwendung beheben, und jeder Hersteller, der Ihnen etwas anderes sagt, verkauft etwas.
Was es ändert, ist der Wert der Extraktion. Access Gate sitzt im Datenpfad vor den Systemen, die wichtig sind, und erfordert eine identitätsgebundene, MFA-gesicherte Sitzung für alles, was sie erreicht. Eine von einem Windows-Host extrahierte Anmeldedaten erzeugt keine Sitzung, weil die Sitzung am Gateway gegen eine separate Identität vermittelt wird und nicht durch Vorlage eines Passworts gewährt. Jeder Versuch wird aufgezeichnet, sodass ein Wiedereinspielversuch von einem unerwarteten Host eine Warnung auslöst statt eines stillen Erfolgs.
Der Umfang ist eng und es lohnt sich, ihn klar zu benennen: Dies begrenzt laterale Bewegung, es verhindert nicht die Offenlegung. Wenden Sie das Hersteller-Upgrade unabhängig davon in Ihrem normalen Prozess an. Siehe OT identity und secure OT remote access für die Funktionsweise der Vermittlung.
Quelle: CISA ICS Advisory ICSA-26-232-01, veröffentlicht am 20. August 2026, unter Republizierung des Johnson Controls Product Security Advisory JCI-PSA-2026-28. Überprüfen Sie betroffene Versionen und behobene Versionen anhand des Hersteller-Advisories, bevor Sie handeln.