สำนักงานรักษาความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้ออกแจ้งเตือนถึงช่องโหว่ระดับ Critical ในผลิตภัณฑ์กล้อง CCTV ของ Honeywell หลายรุ่น ที่อาจทำให้มีการเข้าถึงภาพจากกล้องโดยไม่ได้รับอนุญาต หรือสามารถเข้าควบคุมบัญชีผู้ใช้ได้

ช่องโหว่ดังกล่าวถูกพบโดยนักวิจัยที่ชื่อ Souvik Kanda และมีหมายเลข CVE-2026-1670 โดยปัญหาด้านความปลอดภัยนี้ถูกจัดเป็นประเภทการขาดการยืนยันตัวตนสำหรับฟังก์ชันที่สำคัญ และได้รับคะแนนความรุนแรงระดับ Crtical สูงถึง 9.8

ช่องโหว่ดังกล่าวอาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตน สามารถเปลี่ยน Email Address สำรอง ที่เชื่อมโยงกับบัญชีของอุปกรณ์ได้ ซึ่งนำไปสู่การเข้าควบคุมบัญชี และการเข้าถึงภาพจากกล้องโดยไม่ได้รับอนุญาต

CISA ระบุว่า "ผลิตภัณฑ์ที่ได้รับผลกระทบมีช่องโหว่จากการเปิดเผย API endpoint ที่ไม่มีการยืนยันตัวตน ซึ่งอาจทำให้ผู้โจมตีสามารถเปลี่ยน Email Address สำรองสำหรับการ forgot password ได้"

ตามประกาศเตือนด้านความปลอดภัย ช่องโหว่ CVE-2026-1670 ส่งผลกระทบต่ออุปกรณ์รุ่นต่าง ๆ ดังต่อไปนี้

I-HIB2PI-UL 2MP IP 6.1.22.1216
SMB NDAA MVO-3 WDR_2MP_32M_PTZ_v2.0
PTZ WDR 2MP 32M WDR_2MP_32M_PTZ_v2.0
25M IPC WDR_2MP_32M_PTZ_v2.0

Honeywell เป็นผู้จัดหาอุปกรณ์รักษาความปลอดภัย และระบบกล้อง CCTV รายใหญ่ระดับโลก โดยมีกล้อง CCTV และผลิตภัณฑ์ที่เกี่ยวข้องหลากหลายรุ่นที่ถูกนำไปติดตั้งใช้งานในภาคการพาณิชย์, อุตสาหกรรม และโครงสร้างพื้นฐานระดับ Critical ทั่วโลก

บริษัทมีผลิตภัณฑ์กล้องหลายรุ่นที่สอดคล้องกับมาตรฐาน NDAA (National Defense Authorization Act) ซึ่งเหมาะสำหรับการนำไปติดตั้งใช้งานในหน่วยงานรัฐบาลสหรัฐฯ และบริษัทคู่สัญญาของรัฐบาลกลาง

สำหรับกลุ่มผลิตภัณฑ์เฉพาะรุ่นที่ระบุไว้ในประกาศเตือนของ CISA นั้น เป็นผลิตภัณฑ์ระบบกล้อง CCTV ระดับกลางที่ใช้งานในสภาพแวดล้อมของธุรกิจขนาดเล็กถึงขนาดกลาง, สำนักงาน และคลังสินค้า ซึ่งบางแห่งอาจเป็นส่วนหนึ่งของสถานที่ที่มีความสำคัญระดับ Critical

CISA ระบุว่าเมื่อวันที่ 17 กุมภาพันธ์ที่ผ่านมา ยังไม่มีรายงานการโจมตีจริงต่อสาธารณะที่มุ่งเป้าหมายไปที่ช่องโหว่ดังกล่าวโดยเฉพาะ

อย่างไรก็ตาม ทางหน่วยงานแนะนำให้ลดการเชื่อมต่ออุปกรณ์ของระบบควบคุมเข้ากับเครือข่ายให้เหลือน้อยที่สุด โดยให้แยกอุปกรณ์เหล่านี้ไว้หลัง Firewall และใช้วิธีการเข้าถึงจากระยะไกลที่ปลอดภัย เช่น การใช้โซลูชัน VPN ที่อัปเดตแล้ว ในกรณีที่จำเป็นต้องเชื่อมต่อจากระยะไกล

ปัจจุบัน Honeywell ยังไม่ได้ออกประกาศเตือนอย่างเป็นทางการเกี่ยวกับ CVE-2026-1670 แต่ขอแนะนำให้ผู้ใช้งานติดต่อทีมสนับสนุนของบริษัทเพื่อขอคำแนะนำในการติดตั้งแพตช์เพื่อแก้ไขปัญหา

ที่มา : bleepingcomputer