9 月 1 日，某欧洲工业安全应急响应机构发布通告（VDE-2026-093）：某楼宇自动化厂商的暖通控制器固件更新机制存在“检查与使用”之间的竞态缺陷（CVE-2026-78319，CVSS 9.8）。未认证的攻击者可在更新包校验完成之后、执行之前将其替换。

一旦得手，攻击者即可绕过安全控制执行任意代码并完全控制设备。空调、新风等楼宇系统通常与企业内网相连，被控后往往被当作横向移动的跳板，影响并不局限于设备本身。

相关国家标准已明确要求：升级包须验证来源、防止非授权降级，且升级失败应保持原有固件可用。固件更新通道必须与业务通道同等对待，做到加密、认证、防篡改三件事。