Критическая уязвимость в контроллерах Honeywell IQ4: удаленный захват устройства без пароля

В марте 2026 года стало известно о критическом дефекте безопасности в семействе программируемых логических контроллеров Honeywell IQ4. Уязвимость, зарегистрированная в Банке данных угроз безопасности информации под номером BDU:2026-09910, получила идентификатор CVE-2026-3611. Проблема связана с отсутствием аутентификации для ключевой функции в микропрограммном обеспечении. Это значит, что злоумышленник может удаленно получить полный контроль над устройством без ввода пароля или каких-либо учетных данных.

Детали уязвимости

Ситуация особенно тревожна из-за масштабов применения таких контроллеров. Honeywell - один из ведущих мировых производителей систем автоматизации зданий и промышленной инфраструктуры. Линейка IQ4 включает модели IQ4E, IQ412, IQ422, IQ41x и IQ4NC. Эти устройства обычно управляют отоплением, вентиляцией, кондиционированием, освещением, а также системами пожарной сигнализации и доступа. Подобные контроллеры устанавливают в офисных центрах, больницах, торговых комплексах, на производствах и в государственных учреждениях. Уязвимость потенциально ставит под угрозу тысячи объектов по всему миру.

Давайте разберемся, в чем суть ошибки. Классификация CWE-306 описывает ее как "отсутствие аутентификации для критичной функции". Простыми словами: когда контроллер получает команду на выполнение важного действия (например, изменение настроек, перезагрузку, обновление прошивки), он не проверяет, отправил ли эту команду авторизованный оператор. Любой, кто может обратиться к устройству по сети, способен отдать ему любую инструкцию. И не просто отдать, а в полном объеме: вектор атаки по шкале CVSS 3.1 показывает, что нарушитель может скомпрометировать конфиденциальность, целостность и доступность контроллера. Базовая оценка CVSS 3.1 составляет максимальные 10 баллов. Согласно шкале CVSS 2.0 оценка тоже 10. Это означает, что уязвимость признана критической.

Злоумышленнику не требуется никаких привилегий или доступа к физическому порту. Вектор атаки сетевой (AV:N), сложность низкая (AC:L), аутентификация не нужна (PR:N, Au:N), взаимодействие с пользователем отсутствует (UI:N). Область воздействия - смена контекста безопасности (S:C), то есть атака может затронуть не только сам контроллер, но и всю систему, к которой он подключен. В итоге возможен полный перехват управления: чтение и изменение данных, отключение оборудования, загрузка вредоносного кода.

Последствия эксплуатации могут быть катастрофическими. Представьте, что взломан контроллер вентиляции в операционном блоке больницы или в серверной дата-центра. Нарушитель способен остановить подачу свежего воздуха, создать экстремальную температуру или влажность. Это приведет к выходу из строя критического оборудования, срыву операций, угрозе жизни людей. В промышленной среде атака на контроллер IQ4 может нарушить технологический процесс, испортить продукцию или спровоцировать аварию. Кроме того, скомпрометированное устройство легко превращается в точку входа во внутреннюю сеть предприятия.

Пока официальных данных о наличии эксплойта нет. Информация уточняется. Однако отсутствие аутентификации - настолько простая и очевидная ошибка, что написать работающий скрипт для эксплуатации не составит труда даже начинающему злоумышленнику.

Разработчик, компания Honeywell, не предоставила обновление прошивки на момент публикации данных. В карточке уязвимости указано, что сведения об устранении уточняются. Тем не менее, перечислены компенсирующие меры. Их необходимо применить немедленно. Во-первых, следует ограничить доступ к контроллерам из внешних сетей, в том числе из интернета. Если устройство по какой-то причине должно быть доступно удаленно, нужно использовать виртуальную частную сеть (VPN) для шифрованного туннеля. Во-вторых, необходима сегментация сети. Контроллеры должны находиться в изолированном сегменте, отделенном от корпоративной инфраструктуры и тем более от интернета. В-третьих, рекомендуется развернуть системы обнаружения и предотвращения вторжений (IDS/IPS). Они помогут выявить попытки эксплуатации и заблокировать их.

Особо отмечу, что речь идет не о недостатке документации или неудобном интерфейсе. Мы имеем дело с классической ошибкой архитектуры безопасности. Проектировщики прошивки просто не предусмотрели процедуру проверки полномочий для критических функций. Этот случай в очередной раз напоминает о важности внедрения принципов безопасной разработки. Контроллеры - это не просто встраиваемые устройства, а элементы критической инфраструктуры, и каждый их компонент должен проходить аудит на отсутствие типовых уязвимостей.

Пока же ответственность ложится на плечи системных администраторов и специалистов по информационной безопасности объектов, где применяются IQ4. Им следует провести инвентаризацию всех таких устройств, проверить, не подключены ли они к сетям с внешним доступом, и принять перечисленные выше меры.

Подводя итог, можно сказать: уязвимость CVE-2026-3611 - это серьезная угроза для промышленных и коммерческих систем автоматизации. Ее критический рейтинг 10 баллов по CVSS и простота эксплуатации не оставляют времени на раскачку. Каждый день промедления повышает риск того, что какой-нибудь малозаметный запрос к контроллеру изменит температуру в операционной или отключит вентиляцию в лаборатории. Защитить объекты можно только немедленными действиями по изоляции проблемных устройств.

Детали уязвимости

Ссылки