Vulnerabilidade crítica em câmaras Honeywell permite controlar contas e espionar transmissões sem autenticação

Uma vulnerabilidade grave foi apontada em vários modelos de câmeras e equipamentos de videovigilância da Honeywell, e a Agência de Segurança de Infra-estruturas e Cibersegurança dos Estados Unidos (CISA) emitiu um aviso para administradores e clientes. O falha, identificado pelo pesquisador Souvik Kanda e registrado como CVE-2026-1670, recebe uma pontuação de severidade crítica de 9.8: em termos práticos, permite a um atacante sem autenticar manipular elementos chave do processo de recuperação de contas e, consequentemente, tomar o controle de contas de dispositivo e acessar as transmissões de vídeo.

No coração do problema está um endpoint da API que não exige autenticação para uma função sensível: alterar o endereço de e- mail associado ao mecanismo de recuperação de senha. Aproveitando essa fraqueza, um atacante pode substituir a direção de recuperação por baixo do seu controle e depois reutilizar os processos de restabelecimento para cuidar da conta. Esse tipo de acesso não autorizado é especialmente preocupante quando falamos de câmaras implantadas em escritórios, armazéns ou instalações críticas, porque supõe a possibilidade de espionagem, manipulação da gravação ou eliminação de evidências.

A própria CISA descreve a natureza do risco e lista as famílias do produto em causa; entre os modelos nomeados encontram-se várias referências técnicas de câmaras IP e dispositivos PTZ de gama média que Honeywell comercializa para pequenas e médias empresas, bem como para ambientes industriais. Você pode consultar o aviso oficial de CISA em sua página de avisos de cibersegurança industrial: CISA ICSA-26-048-04. Para a referência pública do identificador da vulnerabilidade também existe a entrada no MITRE: CVE-2026-1670 (MITRE).

A Honeywell é um fornecedor com presença global em soluções de segurança e vídeo, e comercializa também câmeras certificadas como compatíveis com o NDAA para ambientes governamentais dos Estados Unidos. Embora a empresa ainda não tenha publicado um boletim técnico específico para esta falha, seu canal de suporte está aberto para clientes que necessitem de orientação sobre adesivos ou atenuações: Suporte da Honeywell. Entretanto, os responsáveis pela segurança devem agir com prudência e assumir que o acesso remoto a esses equipamentos pode representar um vetor exploável.

De acordo com a notificação de CISA, até 17 de fevereiro não foram relatados evidências públicas de exploração ativa dessa vulnerabilidade. Essa ausência de testes não implica que o risco seja menor: pelo contrário, muitas intrusões passam despercebidas durante longo tempo. Por isso a agência lembra medidas práticas e testadas para reduzir a superfície de ataque: minimizar a exposição em rede dos dispositivos de controle, colocá-los atrás de corta-fogos e exigir acessos remotos por canais seguros e atualizados, como VPNs corporativas mantidas ao dia. Mais orientação geral sobre boas práticas para dispositivos IoT e infraestrutura crítica está disponível na web da CISA: Guia de CISA sobre proteção de sistemas de controle e em recursos sobre cibersegurança para dispositivos conectados: Boas práticas da IoT.

O que devem fazer agora os administradores e proprietários de câmaras afetadas? O ideal é manter a calma e agir de forma ordenada: verificar inventários para identificar se os modelos apontados pela CISA são usados; restringir o acesso remoto direto a esses equipamentos; revisar registros de acesso e alertas para detectar atividades anormais; e, se é imprescindível permitir acesso remoto, fazê-lo apenas através de túneis seguros e com autenticação forte. Também é recomendável rodar credenciais e verificar endereços de e-mail associados às contas de dispositivo, por se alguém já tivesse tentado modificá-las.

Além disso, convém coordenar-se com o fornecedor. Embora a Honeywell ainda não tenha emitido um adesivo público específico para CVE-2026-1670, seu suporte pode fornecer indicações temporárias, soluções alternativas ou planos de mitigação até que seja libertada uma atualização. Você pode entrar em contato com eles através do canal de suporte que mencionamos acima. A comunicação com o fabricante é fundamental para receber instruções oficiais e evitar falsas soluções que possam piorar a situação.

A longo prazo, este incidente lembra uma lição elementar: os dispositivos de videovigilância fazem parte do ecossistema de segurança física e cibernética, e a sua gestão requer políticas e controlos coerentes. Desde segmentar redes até aplicar um inventário de ativos e atualizações periódicas, passando pela gestão de identidade e registro centralizado de eventos, as práticas de ciber-higiene reduzem significativamente o risco de intrusão. Se você quer aprofundar os controles e medidas defensivas recomendadas para infraestrutura crítica e sistemas de controle, a CISA publica material útil e atualizado: Medidas defensivas e guias.

Em resumo, CVE-2026-1670 representa uma vulnerabilidade de alto impacto em várias equipes Honeywell que permite o sequestro de contas mediante um endpoint não autenticado para a gestão de recuperação de senhas. Embora não tenham sido confirmados ataques públicos até à data indicada pela CISA, a prudência dita isolar e proteger esses dispositivos, auditar configurações e credenciais, e contactar a Honeywell para receber as recomendações e adesivos oficiais. Manter a vigilância e aplicar medidas de contenção agora ajudará a evitar problemas maiores depois.