Miles de controladores de gestión de edificios de Honeywell podrían estar accesibles en línea sin necesidad de iniciar sesión, exponiendo controles basados en web que pueden ser abusados para realizar cambios no autorizados e incluso bloquear a los operadores legítimos.

Zero Science Lab ha publicado el aviso ZSL-2026-5979 (publicado el 02 de marzo de 2026) detallando un problema de acceso no autenticado que afecta a los controladores Honeywell Trend IQ4xx BMS en su configuración de fábrica.

La familia IQ4 (Trend IQ4) se utiliza ampliamente para la automatización de edificios y el control de HVAC, soporta Ethernet/TCP/IP y BACnet/IP, y puede escalar a grandes configuraciones de E/S en entornos comerciales.

Según el aviso, cuando no se configura un "módulo de usuario", la interfaz web HMI completa del controlador queda expuesta sin autenticación por diseño.

En este estado, el sistema opera bajo un contexto de "Usuario del Sistema (nivel 100)" con altos privilegios, lo que significa que cualquiera que pueda acceder a la interfaz HTTP puede obtener acceso de lectura/escritura a través de la Web HMI.

Un riesgo clave es que la autenticación solo se aplica después de crear un usuario web mediante la página U.htm, que activa dinámicamente el módulo de usuario.

Según el aviso de Zero Science Lab, la función de creación de usuarios es accesible antes de la autenticación, lo que permite a un atacante remoto crear una nueva cuenta administrativa e iniciar sesión con credenciales controladas por él.

Esto permite al atacante tomar el control de los accesos y bloquear efectivamente a los operadores legítimos, tanto locales como basados en web.

El aviso también menciona un punto final oculto de "Diagnostics Overview" accesible en /^.htm o /%5E.htm, lo que aumenta la funcionalidad expuesta para un atacante que pueda acceder a la interfaz.

Zero Science Lab califica el problema con un riesgo de 5/5, citando impactos como eludir la seguridad, acceso al sistema y condiciones de denegación de servicio.

Se ha hecho referencia pública a un script de prueba de concepto (trendhmi.py), y la coordinación incluye el caso CERT/CC VU#854120, con CISA solicitando una evaluación del proveedor.

El equipo de respuesta a incidentes de seguridad de Honeywell (PSIRT) respondió que los IQ4 están diseñados para uso local y no para exposición directa a Internet, recomendando una instalación cualificada y el cumplimiento de la documentación.

Los productos afectados incluyen IQ4E, IQ412, IQ422, IQ4NC, IQ41x, IQ3 e IQECO, con versiones de firmware vulnerables como 4.36 (build 4.3.7.9), 4.34 (build 4.3.5.14), 3.52 (build 3.5.3.15), 3.50 y 3.44.

Mitigación y detección

• Elimina la exposición directa a Internet: bloquea el acceso entrante a las interfaces web de los controladores en el perímetro, restringe la gestión a VPN y listas de permitidos, y permite solo tráfico VPN.
• Habilita correctamente la seguridad del controlador: crea y aplica módulos de usuario, luego verifica que no sea posible el acceso no autenticado a la Web HMI ni a U.htm.
• Segmenta las redes OT/BMS: aísla los controladores de las redes corporativas planas y de las rutas de acceso remoto.
• Supervisa actividades HTTP sospechosas: solicitudes a U.htm, /^.htm o /%5E.htm, y la creación inesperada de nuevos usuarios administradores.
• Inventario y auditoría: identifica dispositivos Trend IQ4xx, confirma el firmware y revisa la configuración de derechos de acceso según las guías de mejores prácticas de Honeywell (TP201331).