Honeywell CCTV во критична инфраструктура ранливи на заобиколување на автентикација

Објавено: 19.02.2026

Cybersecurity and Infrastructure Security Agency (CISA) предупредува за критична ранливост во повеќе CCTV производи на Honeywell која овозможува неовластен пристап до видео преноси или преземање на кориснички сметки.

Откриена од истражувачот Souvik Kanda и евидентирана како CVE-2026-1670, безбедносната слабост е класифицирана како „недостасува автентикација за критична функција“ и има критична оценка на сериозност од 9.8.

Пропустот му дозволува на неавтентициран напаѓач да ја промени е-поштата за ресетирање лозинка поврзана со уредот, со што се овозможува преземање на сметката и неовластен пристап до камерата.

„Засегнатиот производ е ранлив поради изложен неавтентициран API крајна точка, што може да му овозможи на напаѓачот од далечина да ја промени е-поштата за ‘заборавена лозинка’“, соопшти CISA.

Според безбедносното известување, CVE-2026-1670 ги погодува следните модели:

I-HIB2PI-UL 2MP IP 6.1.22.1216
SMB NDAA MVO-3 WDR_2MP_32M_PTZ_v2.0
PTZ WDR 2MP 32M WDR_2MP_32M_PTZ_v2.0
25M IPC WDR_2MP_32M_PTZ_v2.0

Honeywell е голем глобален снабдувач на безбедносна и видео надзорна опрема со широк спектар на CCTV камери и поврзани производи кои се користат во комерцијални, индустриски и објекти од критична инфраструктура ширум светот.

Компанијата нуди и многу камери усогласени со NDAA стандардите, погодни за користење во американски владини агенции и федерални изведувачи.

Конкретните серии модели наведени во известувањето на CISA се производи од средна класа за видео надзор, наменети за мали и средни бизниси, канцеларии и магацини, од кои дел може да бидат дел од критични објекти.

CISA соопшти дека до 17 февруари нема познати јавни случаи на злоупотреба што конкретно ја таргетираат оваа ранливост.

Сепак, агенцијата препорачува минимизирање на изложеноста на мрежата на уредите од контролни системи, нивно изолирање зад firewall, како и користење на безбедни методи за далечински пристап, како ажурирани VPN решенија кога е потребна remote конекција.

Honeywell сè уште нема објавено официјално соопштение за CVE-2026-1670, но на корисниците им се препорачува да стапат во контакт со техничката поддршка на компанијата за информации околу достапни безбедносни закрпи.

Извори:

Bleeping Computer – Critical infra Honeywell CCTVs vulnerable to auth bypass flaw Bleeping Computer