CVE-2026-13742: отсутствие проверки подписи в Honeywell IQ MultiAccess
В Honeywell IQ MultiAccess (все версии до 28 включительно) обнаружена уязвимость неправильной проверки цифровой подписи перед выполнением загружаемого контента. Атакующий может подменить загружаемый файл на вредоносный. Критичность — средняя (CVSS 5.9).
Подробности
Уязвимость затрагивает Honeywell Technologies IQ MultiAccess — все версии до 28 включительно. Суть проблемы в некорректной проверке цифровой подписи: продукт не верифицирует должным образом подпись загружаемого контента перед его выполнением. Это создаёт предпосылки для атаки, при которой легитимный загружаемый файл может быть заменён на вредоносный. Подобный класс уязвимостей опасен тем, что подмена происходит на этапе доставки контента, а система, не проверяя подпись, воспринимает вредоносный файл как доверенный и исполняет его. Это может привести к компрометации среды, на которой развёрнут IQ MultiAccess, и к нарушению работы системы контроля доступа. Оценка CVSS 5.9 (MEDIUM) отражает умеренный уровень риска: эксплуатация требует определённых условий со стороны атакующего, однако последствия могут быть существенными для инфраструктуры заказчика. Информация об активной эксплуатации в записи CVE не приводится.Что делать
Производитель рекомендует обновить продукт до наиболее актуальной версии. В качестве целевых версий указаны V27 SP1 и V28 SP1 — именно их Honeywell называет в рекомендациях по устранению уязвимости. Организациям, использующим IQ MultiAccess версий 28 и ниже, следует как можно скорее запланировать обновление. До момента установки обновления целесообразно применить компенсирующие меры: ограничить сетевой доступ к системе, контролировать источники и целостность загружаемого контента, а также усилить мониторинг событий, связанных с загрузкой и запуском файлов. Это снижает вероятность успешной подмены, но не заменяет установку патча.Итог
CVE-2026-13742 — уязвимость среднего уровня критичности в Honeywell IQ MultiAccess, позволяющая подменить загружаемый файл из-за отсутствия проверки подписи. Решение — обновление до V27 SP1 или V28 SP1; до этого рекомендуется ограничить доступ и усилить контроль загружаемого контента.Источник: CVE Project (cvelistV5)