C•CURE 9000・victorのCVE-2026-106019はHigh―インストールログに認証情報、交換も必要

Johnson Controlsは2026年11月5日、C•CURE 9000とvictorのインストーラーに、認証情報を平文でログへ書くCVE-2026-106019があると公表しました。同社のCVSS v4.0評価は8.8、High。修正版への差し替えだけでなく、露出した資格情報の交換も案内しています。

対象はC•CURE 9000 3.20のビルド3.20.597と、victor 8.0のビルド8.0.597のインストーラーです。7月1日から9月18日までダウンロード提供されていた特定ビルドで、導入、アップグレード、修復時に管理者の資格情報などがローカルのログへ残るおそれがあります。

ログを読める低権限のローカルユーザーや不正プロセスが入口になります。また、未加工のログを収集した監視基盤やバックアップに不正アクセスした相手にも情報が渡る可能性があります。インターネットから認証なしで直接ログを取得できると断定した報告ではありません。

修正版はC•CURE 9000が3.20.607以降、victorが8.0.607以降です。影響版をダウンロードした場合は保存してあるコピーも取り除き、今後の導入には修正版を使います。すでに実行した場合は、公式告知に列挙されたInstallerTemp配下などのログを確認し、露出した資格情報の交換と対象ログの削除を行うよう案内されています。

運用中の入退室・映像管理に関わる製品のため、変更前に運用影響と設定バックアップを確認します。参照した告知は脆弱性と対処を説明したもので、実際の資格情報窃取や侵入被害が確認されたとの記載はありません。