Полный доступ без пароля. Брешь в камерах Honeywell позволяет любому смотреть ваше видео

В популярных камерах видеонаблюдения Honeywell нашли критическую уязвимость, которая позволяет постороннему получить доступ к видеопотоку или полностью перехватить учётную запись устройства. О проблеме предупредило Агентство по кибербезопасности и защите инфраструктуры США CISA.

Бреши присвоили идентификатор CVE-2026-1670 (оценка CVSS 9.8). Уязвимость относится к категории отсутствия проверки подлинности при выполнении критической функции. Суть проблемы в том, что злоумышленнику не нужно входить в систему. Через открытый интерфейс программирования атакующий может удалённо изменить адрес электронной почты, который используется для восстановления пароля. После этого достаточно запустить процедуру «забыли пароль», чтобы захватить учётную запись и получить доступ к трансляции с камеры.

В CISA уточнили, что уязвимость связана с доступным без авторизации программным интерфейсом. Через него можно изменить адрес для восстановления пароля и тем самым перехватить управление устройством. Проблема затрагивает несколько моделей, в том числе I-HIB2PI-UL 2MP IP версии 6.1.22.1216, а также устройства серий SMB NDAA MVO-3 WDR_2MP_32M_PTZ_v2.0, PTZ WDR 2MP 32M WDR_2MP_32M_PTZ_v2.0 и 25M IPC WDR_2MP_32M_PTZ_v2.0.

Honeywell – крупный мировой производитель оборудования для безопасности и видеонаблюдения. Его камеры используют в офисах, на складах, промышленных объектах и на объектах критической инфраструктуры. В ассортименте есть и модели, которые устанавливаются в государственных учреждениях и у федеральных подрядчиков. Речь в предупреждении идёт о камерах среднего класса, которые чаще всего применяют в небольших и средних компаниях. При этом часть таких устройств может работать и на объектах с повышенными требованиями к безопасности.

На данный момент сведений о том, что уязвимость уже используют в реальных атаках, нет. Тем не менее, специалисты советуют по возможности не открывать такие устройства напрямую в интернет, изолировать их за межсетевыми экранами и использовать защищённые способы удалённого доступа. Производитель пока не опубликовал отдельное уведомление о CVE-2026-1670. Владельцам затронутых устройств рекомендуют обратиться в службу поддержки Honeywell за разъяснениями и информацией об обновлениях.