Критическая уязвимость переполнения стека в контроллерах доступа Johnson Controls iSTAR (CVE-2026-XXXX)

Критическая уязвимость переполнения стека в контроллерах доступа Johnson Controls iSTAR

Мадрид, Испания – 23 января 2026 г. – INCIBE-CERT опубликовал раннее предупреждение о критической уязвимости переполнения буфера на основе стека в системах контроля доступа Johnson Controls iSTAR. Уязвимость, зарегистрированная под идентификатором CVE-2026-XXXX, представляет серьёзную угрозу для организаций, использующих эти устройства в инфраструктуре физической безопасности.

Технические детали

Уязвимость вызвана некорректной проверкой входных данных в прошивке iSTAR, что позволяет злоумышленникам вызвать переполнение буфера на основе стека с помощью специально сформированных сетевых пакетов. Успешная эксплуатация может привести к:

• Удалённому выполнению кода (RCE) с повышенными привилегиями
• Отказу в обслуживании (DoS)
• Несанкционированному доступу к критически важным системам управления объектами

Хотя технические подробности остаются ограниченными до выхода исправления от производителя, уязвимость классифицирована как высокой степени тяжести из-за возможности эксплуатации без аутентификации. Системы Johnson Controls iSTAR широко используются в ключевых секторах инфраструктуры, включая здравоохранение, государственные учреждения и коммерческие объекты.

Анализ последствий

Уязвимость подвергает организации следующим рискам:

• Нарушение физической безопасности через компрометацию систем контроля доступа
• Латеральное перемещение в связанные сети OT/IT
• Нарушение требований соответствия стандартам NIST SP 800-82 и IEC 62443

INCIBE-CERT не подтвердил случаи активной эксплуатации уязвимости, но настоятельно рекомендует принять меры по снижению рисков из-за критического характера уязвимости.

Рекомендации

Специалистам по безопасности следует:

1. Изолировать устройства iSTAR от ненадёжных сетей до выхода исправлений
2. Мониторить сетевой трафик на предмет аномальной активности, направленной на контроллеры iSTAR
3. Установить обновления от производителя сразу после их выпуска
4. Проверять журналы доступа на наличие признаков несанкционированных изменений конфигурации
5. Сегментировать сети для ограничения воздействия на критически важные системы физической безопасности

Johnson Controls уведомлён о проблеме и готовит обновление прошивки. INCIBE-CERT предоставит дополнительную информацию по мере её появления. Подробности доступны в оригинальном бюллетене.

Ситуация развивается. Обновления будут публиковаться по мере поступления новой информации.