أجهزة التحكم في المباني Johnson Controls EasyIO FG تحتوي على ثغرات في بيانات الاعتماد المشفرة وإدارة الصلاحيات

نظرة عامة على الثغرات

أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية تنبيهاً بشأن ثغرتين في أجهزة التحكم الآلي للمباني Johnson Controls EasyIO FG. الثغرتان المسجلتان برقم CVE-2026-27872 وCVE-2026-27873 تؤثران على جميع إصدارات البرنامج الثابت حتى الإصدار 2.0b52 وما قبله. تنبع كلتا الثغرتين من استخدام بيانات اعتماد مشفرة وإدارة صلاحيات غير صحيحة، مما يتيح للمهاجم الحصول على وصول كامل غير مصرح به للأجهزة المتأثرة. أعطت الوكالة درجة CVSS قدرها 7.7، مما يعكس احتمالية تأثير تقني وتشغيلي كبير.

سلسلة EasyIO FG منتشرة عالمياً عبر قطاعات البنية التحتية الحرجة بما في ذلك التصنيع الحرج والمنشآت التجارية والخدمات الحكومية وأنظمة النقل والطاقة. تدير أجهزة التحكم الآلي هذه أنظمة التدفئة والتهوية والإضاءة وأنظمة المنشآت الأخرى، مما يجعلها أهدافاً جذابة للخصوم الذين يسعون لتعطيل العمليات أو إنشاء موطئ قدم في بيئات تقنية العمليات.

حالة انتهاء العمر وعدم توفر تحديثات

قررت Johnson Controls أن سلسلة EasyIO FG قد وصلت إلى حالة انتهاء العمر. ونتيجة لذلك، لن تصدر الشركة تحديثات أمنية لمعالجة هذه الثغرات. تواجه المؤسسات التي تعتمد على هذه الأجهزة خياراً بين قبول المخاطر أو تطبيق ضوابط تعويضية أو استبدال الأجهزة المتأثرة ببدائل مدعومة.

المخاطر على المؤسسات السعودية الخاضعة للتنظيم

بالنسبة للمؤسسات العاملة بموجب أطر الهيئة الوطنية للأمن السيبراني أو لوائح مؤسسة النقد العربي السعودي، فإن وجود ثغرات غير مصححة في بيئات تقنية العمليات يمثل مخاطر على الامتثال والعمليات. غالباً ما تربط أنظمة التحكم الآلي في المباني بين شبكات تقنية المعلومات وتقنية العمليات، وقد يوفر اختراق هذه الأجهزة للمهاجمين فرص التنقل الجانبي أو تمكين تعطيل العمليات الحرجة للمنشآت.