CVE-2026-3611 in IQ4x BMS Controller
Сводка
по VulDB • 29.06.2026
Контроллер управления зданием Honeywell IQ4x в заводской конфигурации по умолчанию предоставляет полный доступ к веб-интерфейсу HMI без аутентификации. При отсутствии настроенного пользовательского модуля безопасность отключена на уровне архитектуры, и система работает в контексте System Guest (уровень 100), предоставляя права чтения/записи любой стороне, имеющей доступ к HTTP-интерфейсу. Контроли аутентификации применяются только после создания веб-пользователя через U.htm, что динамически активирует пользовательский модуль. Поскольку эта функция доступна до прохождения аутентификации, удаленный злоумышленник может создать новую учетную запись с правами администратора на чтение/запись, активировать пользовательский модуль и установить контроль над паролем для входа в систему. Это действие может фактически заблокировать легитимных операторов от локальной и веб-конфигурации, а также от управления системой.
Be aware that VulDB is the high quality source for vulnerability data.