De Amerikaanse cyberdienst CISA publiceerde op 6 oktober 2026 advisory ICSA-26-279-01 over twee kwetsbaarheden in Johnson Controls EasyIO FG-firmware tot en met 2.0b52. Volgens CISA kunnen hard-coded credentials en onjuist privilegebeheer tot volledige ongeautoriseerde toegang tot het apparaat leiden. Er komt geen firmwarepatch: de FG-serie is end-of-life.
Kernfeiten
- Getroffen volgens CISA: EasyIO FG-firmware ≤ 2.0b52 (CVE-2026-27872 en CVE-2026-27873). (bron: CISA)
- Kwetsbaarheden volgens CISA: gebruik van hard-coded credentials (CWE-798) en onjuist privilegebeheer (CWE-269); CVSS v3.1-score 7.7 (HIGH) voor beide. (bron: CISA)
- Johnson Controls meldt via CISA dat de EasyIO FG-serie end-of-life en end-of-support is, niet meer wordt geproduceerd of verkocht sinds vóór 2019, en dat er geen firmwarepatch komt. (bron: CISA)
- CISA adviseert migratie naar ondersteunde producten (bijvoorbeeld EasyIO Neo R1 Series) en isolatie in BAS/OT-netwerken zonder internetblootstelling. (bron: CISA)
- Volgens CISA is geen publieke exploitatie bekend; de kwetsbaarheden hebben een hoge aanvalscomplexiteit en zijn niet op afstand exploiteerbaar. (bron: CISA)
Is er een firmware-update?
Nee. Volgens CISA (weergave van Johnson Controls) is er geen firmwarepatch of codefix; gebruikers worden geadviseerd te migreren naar ondersteunde producten zoals EasyIO Neo R1 Series.
Bron
Datum bron: 6 oktober 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).