Johnson Controls C•CURE 9000 ve victor Sistemlerinde Yüksek Önem Dereceli Güvenlik Açığı

Johnson Controls, fiziksel güvenlik yönetim platformlarını etkileyen yeni bir siber güvenlik uyarısı yayımladı.

5 Kasım 2026 tarihli JCI-PSA-2026-45 numaralı güvenlik bildirimi, Software House C•CURE 9000 ve American Dynamics victor ürünlerinde hassas kimlik bilgilerinin korunmasıyla ilgili bir sorun bulunduğunu ortaya koyuyor.

Açık, 6 Kasım'da yayımlanan CVE-2026-106019 kaydıyla kamuya açık güvenlik açığı veri tabanlarına eklendi.

Sorun, belirli kurulum işlemleri sırasında hassas kimlik bilgilerinin günlük dosyalarına kaydedilebilmesiyle ilgili. Bu kayıtlara erişen yetkisiz kişilerin, açığa çıkan bilgileri başka sistemlere erişmek amacıyla kullanması mümkün olabilir.

Güvenlik açığının gerçek saldırılarda kullanıldığına ilişkin doğrulanmış bir olay bilgisi bulunmuyor.

Güvenlik Açığı Hangi Sistemleri Etkiliyor?

Johnson Controls'un C•CURE 9000 platformu, kurumsal tesislerde fiziksel erişim kontrolünün ve güvenlik olaylarının merkezi yönetimi amacıyla kullanılıyor.

victor ise video gözetim altyapılarının yönetilmesini sağlayan bir video yönetim sistemi (VMS).

Üreticinin resmî CVE kaydı, etkilenen ürünler arasında C•CURE 9000 ve victor sistemlerini listeliyor. Ayrıntılı teknik analizlerde şu kurulum paketleri belirtiliyor:

Bu ayrıntılı paket numaraları Breachroad'un üretici bildirimine dayanan teknik incelemesinde yer alıyor. Kurumların güncelleme öncesinde Johnson Controls'un güncel güvenlik bildirimini kontrol etmeleri gerekiyor.

Sorunlu kurulum dosyaları daha önce indirilmişse, bu dosyaların şirket içi yazılım arşivlerinde veya entegratörlerin yedeklerinde bulunması da olası.

CVE-2026-106019 Teknik Olarak Nasıl Çalışıyor?

Güvenlik açığı, CWE-532 — Sensitive Information in Log Files sınıfında değerlendiriliyor.

Bu kategori, uygulamaların hassas bilgileri günlük dosyalarına kaydetmesi nedeniyle oluşan güvenlik risklerini ifade ediyor.

Normal koşullarda günlük dosyaları; sistem hatalarının, kurulum işlemlerinin ve uygulama faaliyetlerinin izlenmesi amacıyla oluşturuluyor.

Ancak bu kayıtların parola veya kimlik doğrulama bilgileri içermesi, yetkisiz erişim durumunda önemli bir güvenlik riskine dönüşebiliyor.

Johnson Controls ürünlerinde tespit edilen sorun, hassas kimlik bilgilerinin belirli kurulum günlüklerine yazılabilmesinden kaynaklanıyor.

Açığın CVSS 4.0 puanı 8,8 (Yüksek) olarak açıklandı.

Bu puan, sistemlerin internet üzerinden herhangi bir kimlik doğrulaması olmadan ele geçirilebildiği anlamına gelmiyor. Resmî değerlendirmede saldırının gerçekleşebilmesi için belirli erişim koşullarının karşılanması gerekiyor.

Temel risk, kaydedilmiş kimlik bilgilerinin yetkisiz kişilerce okunması ve sonrasında kötüye kullanılması.

Günlük Dosyalarında Hangi Riskler Bulunuyor?

Breachroad'un teknik analizinde incelenmesi gereken konumlardan biri şu şekilde belirtiliyor:

C:\ProgramData\JCI\InstallerTemp\

Bu konumda UnifiedInstallDashboard.log gibi kurulum kayıtları bulunabiliyor.

Kurumsal ortamlarda günlük dosyaları yalnızca yerel sunucularda saklanmayabiliyor.

Merkezi log yönetim sistemleri, yedekleme altyapıları ve teknik destek arşivleri de geçmiş günlük kayıtlarının kopyalarını içerebiliyor.

Bu nedenle sistem yöneticilerinin yalnızca mevcut yazılım sürümünü kontrol etmeleri yeterli olmayabilir.

Önceki kurulum işlemlerinden kalan dosyaların ve bu dosyalara erişim yetkilerinin de değerlendirilmesi gerekiyor.

Johnson Controls Kullanıcıları Hangi Önlemleri Almalı?

Üreticinin güvenlik bildirimi ve teknik analizler doğrultusunda, ilk adım ilgili ürünlerin kurulum paketlerinin ve mevcut sürümlerinin belirlenmesi.

Etkilenen paketleri kullanan kuruluşların güncel ve düzeltilmiş kurulum dosyalarını üreticinin resmî dağıtım kanallarından temin etmeleri gerekiyor.

Ancak yeni kurulum paketine geçiş, geçmişte oluşturulan günlük dosyalarındaki hassas bilgileri otomatik olarak temizlemiyor.

Bu nedenle sistem yöneticilerinin aşağıdaki işlemleri değerlendirmesi öneriliyor:

• Etkilenen kurulum paketlerinin kullanılıp kullanılmadığını kontrol etmek.

• Kurulum günlüklerini hassas kimlik bilgileri açısından incelemek.

• İlgili günlüklerin yerel ve merkezi kopyalarını belirlemek.

• Açığa çıkmış olabilecek hesap parolalarını ve diğer kimlik doğrulama bilgilerini yenilemek.

• Günlük dosyalarına erişim yetkilerini sınırlandırmak.

• Güncellemeleri ve hesap değişikliklerini yetkili teknik ekiplerle koordineli yürütmek.

Fiziksel güvenlik sistemlerindeki servis hesapları, farklı yazılım ve donanım bileşenleriyle bağlantılı olabiliyor.

Bu nedenle parola değişikliklerinin veya sistem güncellemelerinin plansız yapılması, mevcut entegrasyonların çalışmasını etkileyebilir.

Güncelleme öncesinde yapılandırmaların yedeklenmesi ve değişikliklerin kontrollü bakım süreçlerinde gerçekleştirilmesi önem taşıyor.

Türkiye'deki Güvenlik Entegratörleri İçin Neden Önemli?

Türkiye'deki kurumsal güvenlik projelerinde erişim kontrol, video gözetim ve merkezi güvenlik yönetim yazılımları birlikte kullanılabiliyor.

Bu sistemlerdeki yönetim sunucuları, fiziksel güvenlik cihazları ile kurumsal bilgi teknolojileri altyapısı arasında önemli bağlantılar oluşturuyor.

Johnson Controls tarafından duyurulan güvenlik açığı, kurulum ve bakım süreçlerinin de siber güvenlik denetimine dahil edilmesi gerektiğini gösteriyor.

Türkiye'de kaç C•CURE 9000 veya victor kurulumunun etkilendiğine ilişkin doğrulanmış bir veri bulunmuyor.

Bununla birlikte ilgili ürünleri kullanan kurumların, yetkili entegratörleri aracılığıyla kurulum paketlerini ve geçmiş günlük kayıtlarını kontrol etmeleri yararlı olabilir.

Bu değerlendirme yalnızca Johnson Controls ürünleriyle sınırlı bir güvenlik yaklaşımı olarak görülmemeli.

IP kamera, NVR, VMS ve erişim kontrol platformlarının yönetim yazılımları da hassas sistem hesapları ve operasyonel kayıtlar içerebiliyor.

Dolayısıyla güvenlik denetimlerinde cihaz yazılımları kadar kurulum araçlarının, yönetici yetkilerinin ve kayıt saklama süreçlerinin de incelenmesi gerekiyor.

Fiziksel Güvenlik Altyapılarında Siber Güvenlik Önemi Artıyor

CVE-2026-106019, fiziksel güvenlik sistemlerindeki risklerin yalnızca ağ bağlantıları veya cihazların kendisiyle sınırlı olmadığını gösteriyor.

Kurulum paketleri, servis hesapları ve günlük dosyaları da güvenlik mimarisinin önemli bileşenleri arasında bulunuyor.

Bu nedenle kurumların güncelleme yönetimini, erişim yetkilendirmesini ve hassas veri koruma politikalarını birlikte değerlendirmeleri gerekiyor.

Güvenlik altyapısının korunması, yalnızca kameraların ve erişim kontrol cihazlarının güncellenmesiyle değil, bu sistemleri yöneten yazılım ve hesapların da güvenli tutulmasıyla mümkün.

Kaynaklar

Johnson Controls — 5 Kasım 2026
JCI-PSA-2026-45 güvenlik bildirimi
https://www.johnsoncontrols.com/trust-center/cybersecurity/security-advisories

CVE Program — 6 Kasım 2026
CVE-2026-106019 resmî güvenlik açığı kaydı
https://www.cve.org/CVERecord?id=CVE-2026-106019

Breachroad — 6 Kasım 2026
C•CURE 9000 ve victor güvenlik açığının teknik analizi
https://www.breachroad.com/en/blog/ccure-9000-victor-cve-2026-106019-credentials-in-logs/