CISA publiceerde op 1 oktober 2026 twee advisories over EasyIO Neo Series EC- en CW-regelaars van Johnson Controls: ICSA-26-274-04 (CVSS v3 3.5, laag) en ICSA-26-274-05 (CVSS v3 5.4, middel). De fix zit in EC-firmware V3.3b64 en CW-firmware V3.3b26.
Kernfeiten
- Getroffen versies: EC V3.3b62 en V3.3b63, CW V3.3b24 en V3.3b25. (bron: CISA)
- CVE-2026-64892 (ICSA-26-274-04): blootstelling van gevoelige informatie, CVSS v3 3.5 LOW. (bron: CISA)
- CVE-2026-64893 (ICSA-26-274-05): onversleutelde overdracht van gevoelige informatie, waaronder inloggegevens en sessiedata, CVSS v3 5.4 MEDIUM. (bron: CISA)
- In de nieuwste versie is HTTP-communicatie standaard uitgeschakeld (ICSA-26-274-05). (bron: CISA)
- CISA: EasyIO Neo is een programmeerbare edge controller voor HVAC, verlichting en energie in commerciële gebouwen. (bron: CISA)
Wat als updaten niet direct kan?
Johnson Controls noemt via CISA onder meer: HTTPS/TLS afdwingen, HTTP volledig uitschakelen, de regelaars in een gesegmenteerd netwerk achter een firewall plaatsen en op afstand via VPN werken.
Bron
Datum bron: 1 oktober 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).