Johnson Controls publiceerde op 1 oktober 2026 product security advisory JCI-PSA-2026-06 over een kwetsbaarheid in EasyIO FS-32 (CVE-2026-27874). Volgens de advisory kan een aanvaller willekeurige besturingssysteemcommando’s uitvoeren, kritieke systeembestanden verwijderen (denial of service) en kwaadaardige scripts in webpagina’s injecteren. CVSS v4.0-score 5.9 (Medium). De EasyIO FS-32 is volgens Johnson Controls end-of-life.
Kernfeiten
- Getroffen volgens Johnson Controls: EasyIO FS-32 versie v3.0b63 en eerder (CVE-2026-27874). (bron: Johnson Controls)
- Volgens de advisory betreft het CWE-78 (OS command injection), CWE-73 (external control of file name or path) en CWE-79 (cross-site scripting); CVSS v4.0-score 5.9 (AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N). (bron: Johnson Controls)
- Johnson Controls beschrijft EasyIO FS-32 als een programmeerbare gebouwautomatiseringscontroller voor HVAC, verlichting en energiemanagement in commerciële en industriële gebouwen, die ook als veldapparaat sensoren en actuatoren aanstuurt. (bron: Johnson Controls)
- Remediatie volgens de advisory: een fix is gepland voor de volgende firmware-release (gepland september 2026); de EasyIO FS-32 is end-of-life (EOL). Klanten wordt geadviseerd zo snel als operationeel haalbaar te upgraden naar de gefixte versie of later. (bron: Johnson Controls)
- Tijdelijke maatregelen volgens Johnson Controls onder meer: netwerktoegang tot de beheerinterface beperken tot vertrouwde hosts, de controller in een apart BAS-VLAN isoleren van IT en internet, onnodige diensten (FTP/SSH/Telnet) uitzetten, sterke unieke wachtwoorden gebruiken en default-wachtwoorden direct wijzigen. (bron: Johnson Controls)
Is er een firmware-update?
Volgens Johnson Controls is een fix gepland voor de volgende firmware-release (gepland september 2026). De EasyIO FS-32 is end-of-life. Klanten wordt geadviseerd zo snel als operationeel haalbaar te upgraden naar de gefixte versie of later.
Bron
- Johnson Controls – JCI-PSA-2026-06 EasyIO FS-32 (CVE-2026-27874) (1 oktober 2026)
- Johnson Controls – JCI-PSA-2026-06 PDF
Datum bron: 1 oktober 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).