Johnson Controls C-CURE 9000製品の脆弱性情報：複数のRCE・SSRFリスクに対し、バージョンアップとネットワーク隔離が必須

解説

本記事では、物理セキュリティシステムに利用されるJohnson Controls社のC-CURE 9000およびvictorアプリケーションサーバーに関わる複数の脆弱性について解説します。これらの製品は、認証不要での任意のコード実行（RCE）や、内部サービスへのなりすましアクセス（SSRF）などの重大なリスクを抱えていることが指摘されています。そのため、単にパッチを適用するだけでなく、システム全体のセキュリティ設計を見直す視点が求められます。

ポイント

• Johnson ControlsのC-CURE 9000およびvictorアプリケーションサーバーで複数の重大な脆弱性（RCE、SSRFなど）が発見されました。
• 影響を受けるバージョンや具体的なCVE番号とともに、対応策としてサービスバージョンアップやアクセス制限などの詳細な緩和策が提示されています。
• 物理セキュリティに直結するシステムのため、緊急性の高いパッチ適用と、ネットワークレベルでの防御強化が必須となります。詳細はベンダーの公式情報を参照し、計画的な対策を実施してください。

情シスへの影響

【C-CURE 9000およびvictorアプリケーションサーバー (CVE-2026-21655関連)】

• 不正なシリアル化パスの悪用により、認証不要で任意のコード実行（RCE）が可能なリスクがあります。

• 対応策: サービスをバージョン3.20以降にアップグレードすることが最も重要です。また、ネットワークレベルでの制御が求められます。

• C-CURE 9000およびvictorアプリケーションサーバーの専用ネットワークセグメントへの隔離が必要です。

• ポート8999など、不必要なインバウンド接続をファイアウォールやACLで厳しく遮断する必要があります。

【victor Webアプリケーション (CVE-2026-21653, CVE-2026-34496関連)】

• サーバーサイドリクエストフォージェリ（SSRF）の脆弱性により、内部サービスへのなりすましアクセスや情報漏洩が発生するリスクがあります。

• 対応策: victor Webはバージョン7.0以降へのアップデートが必要です。また、アプリケーションの権限最小化とロギング強化が推奨されます。

影響範囲

影響を受ける製品：Johnson Controls C-CURE 9000, victor application server, victor Web

影響範囲：物理セキュリティ制御システム全体（作業ステーション等も影響可能）

脆弱性タイプ：RCE、SSRF、権限昇格（Multiple CVEs: CVE-2026-21655, CVE-2026-21653, CVE-2026-34496など）

影響する管理領域：アプリケーションソフトウェア、ネットワーク設定（ファイアウォール/IDS）、OS設定（権限最小化、ホワイトリスト）

重要度

★★★★★

対象者

• M365管理者
• ネットワーク管理者
• セキュリティ担当者

優先度

今すぐ対応

優先度の理由

複数のCVEを含む極めて重大なリモートコード実行（RCE）と情報漏洩のリスクが指摘されており、攻撃の成功は物理的なセキュリティ制御機能に直結します。ベンダー側も緊急パッチを強く推奨しているため、最優先で対策を実施し、影響範囲の確認から始める必要があります。

確認手順

• 管理対象のC-CURE 9000およびvictorアプリケーションサーバー、victor Webの現在稼働バージョンを確認する。
• これらの製品群が利用しているネットワークポート（特に8999）に対し、信頼できないセグメントからのインバウンドアクセスがファイアウォール/ACLで完全に遮断されているか確認する。
• すべての関連システムについて、推奨される最新バージョン（C-CURE 9000/victor: v3.20+, victor Web: v7.0+）へのアップグレード計画を立てる。
• アプリケーションサーバーのプロセス実行権限が最小特権原則に基づき設定されているか、また不要なサービスは無効化されているか確認する。