Aviso da CISA sobre a CVE-2026-64893: versões específicas dos controladores Johnson Controls EasyIO Neo EC e CW podem transmitir dados sensíveis em texto claro. A recomendação é atualizar e proteger as comunicações de gerenciamento.
Publicado em 1º de outubro de 2026, o aviso relata que a CVE-2026-64893 pode permitir a interceptação de informações sensíveis, incluindo credenciais e dados de sessão transmitidos pela rede. O alerta atribui à vulnerabilidade pontuação CVSS 3 de 5,4. São afetados os controladores EC V3.3b62 e V3.3b63 e CW V3.3b24 e V3.3b25. O EasyIO Neo é um controlador programável usado em automação predial, incluindo HVAC, iluminação e energia.
A Johnson Controls disponibilizou correções: firmware EC V3.3b64 e CW V3.3b26, ou versões posteriores. O aviso recomenda avaliar impactos operacionais, fazer backup das configurações e testar atualizações antes de aplicá-las em produção, seguindo os processos de mudança. Se a atualização não puder ser feita de imediato, recomenda habilitar HTTPS/TLS, desativar HTTP e restringir a exposição por segmentação de rede, firewall e VPN para acesso remoto. Consulte o aviso original da CISA e o resumo CSAF para verificar os detalhes e confirmar as orientações vigentes.