Schwachstellen werden geladen…
Schwachstellen werden geladen…
CVE-2026-21655
Deserialization of untrusted data vulnerability in Johnson Control victor on Windows, Johnson Controls CCure 9000, and Johnson Controls Victor Application Server allows capec-586. This issue affects victor: before 8.0; CCure 9000: before 3.2; Victor Application Server: before 4.1.
Dieser Datensatz: Live-Anbindung— zuletzt abgerufen: 24. September 2026 um 05:08.
Direkt aus NVD, CISA oder vom Hersteller übernommen — teils auf Englisch, unverändert gegenüber der Quelle.
Deserialization of untrusted data vulnerability in Johnson Control victor on Windows, Johnson Controls CCure 9000, and Johnson Controls Victor Application Server allows capec-586. This issue affects victor: before 8.0; CCure 9000: before 3.2; Victor Application Server: before 4.1.
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Attack Vector
NETWORK
Privileges Required
NONE
User Interaction
NONE
Vertraulichkeit
Keine
Integrität
Keine
Verfügbarkeit
Keine
Ausnutzungswahrscheinlichkeit innerhalb von 30 Tagen
0.5%
Perzentil
41e
Quelle: FIRST.org, aktualisiert am 23. September 2026.
Johnson Controls recommends the following upgrades to address the vulnerable deserialization path: Upgrade to C-CURE 9000 v3.20 or later
Unsere eigene Einordnung und unser Kontext zu den obigen Quelldaten.
IACS-Radar-Einordnung
Unsere eigene Einordnung und unser Kontext zu dieser Schwachstelle — keine offizielle Quelle.
IACS-Radar-Prioritätswert
Basierend auf CVSS 9.6, EPSS 0.5%, industrielle Relevanz 40/100.
Kombiniert CVSS, EPSS, KEV-Status, industrielle Relevanz und Expositionsrelevanz — eine Ergänzung, kein Ersatz für die einzelnen Werte darunter und darüber.
Voraussetzungen für eine Ausnutzung
Operative Auswirkungen & Energierelevanz
Begrenzte Auswirkung auf die Verfügbarkeit; das Risiko liegt vor allem bei der Vertraulichkeit oder Integrität von Prozessdaten.
Keine starken energiesektorspezifischen Signale erkannt; allgemeine OT-/ICS-Relevanz.
Empfohlene defensive Maßnahmen
Industrieller Relevanzwert
Die Einstufung ist vorläufig; eine manuelle Überprüfung durch einen OT-Security-Analysten wird empfohlen.
Klassifiziert von IACS Radar-analysepijplijn (geautomatiseerd) am 24. September 2026.
IEC-62443-Zuordnung
Automatische IACS-Radar-Einordnung anhand der gemeldeten CWE-Schwächeklassifizierung; keine offizielle Zertifizierungsaussage.