Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Una vulnerabilità critica è stata individuata nella famiglia di controller Honeywell IQ4x Building Management System (BMS), esponendo strutture industriali e commerciali al rischio di compromissione remota. Il problema di sicurezza è stato catalogato come CVE-2026-3611 e ha ricevuto un punteggio CVSS di 10.0, il massimo possibile, indicativo del livello di rischio più elevato.
Secondo quanto riportato nell’avviso di sicurezza, “lo sfruttamento riuscito di questa vulnerabilità potrebbe consentire a un attaccante non autorizzato di accedere alle impostazioni di gestione del controller, controllare componenti del sistema, divulgare informazioni o provocare una condizione di denial-of-service”.
L’origine della vulnerabilità risiede nella configurazione iniziale del dispositivo. I ricercatori hanno scoperto che il controller espone completamente la propria interfaccia web HMI (Human Machine Interface) senza alcuna autenticazione quando è in configurazione di fabbrica.
In pratica, se durante l’installazione l’amministratore dell’edificio non configura un modulo utente, l’interfaccia di gestione rimane completamente accessibile. In questo scenario, chiunque abbia accesso alla rete su cui si trova il controller può interagire con il sistema.
Questo significa che un attaccante potrebbe manipolare funzioni critiche dell’edificio – ad esempio:
e farlo senza dover inserire alcuna password.
La vulnerabilità riguarda diversi dispositivi della linea Honeywell IQ4x che utilizzano firmware compresi tra:
L’elenco dell’hardware impattato include:
La protezione di questi sistemi passa principalmente dall’abbandono delle configurazioni di default. Anche il CISA ha avvertito di questo bug che riveste un carattere di criticità per la sicurezza nazionale.
La contromisura più importante consiste nel configurare immediatamente autenticazione e moduli utente robusti, in modo da proteggere l’accesso alla HMI web-based e impedire accessi non autorizzati.
In altre parole, lasciare il controller con la configurazione di fabbrica equivale a esporre la console di gestione del sistema di building automation direttamente sulla rete, rendendola potenzialmente accessibile a chiunque riesca a raggiungerla.
Per gli amministratori di infrastrutture e building automation, la raccomandazione è quindi semplice ma fondamentale: bloccare subito l’interfaccia di gestione con credenziali e controlli di accesso adeguati
