2026 年 9 月 24 日，霍尼韦尔（Honeywell）发布 PD45 工业打印机固件安全公告，编号 CVE-2026-13249：设备的 Web 管理界面存在未认证任意文件上传缺陷，攻击者无需任何凭据即可上传受控文件并进一步执行系统命令，CVSS 评分 9.8（严重）。修复固件版本为 F10.22.030745。
事件概述
- 受影响产品：Honeywell PD45 工业打印机，受影响固件 F10.19.010040，以及 F10.22.030745 之前的版本。
- 修复版本：F10.22.030745 或更高。
- 漏洞类型：CWE-306 关键功能缺失认证、CWE-434 危险类型文件无限制上传、CWE-78 操作系统命令注入。
- 公开状态：CISA KEV 未收录，暂无公开 PoC，暂无确认的在野利用。
技术细节
攻击向量为网络，攻击复杂度低，无需权限，无需用户交互，CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。Web 管理界面的文件上传功能没有强制认证，也没有对上传文件类型做限制，攻击者可以直接向该接口提交恶意文件，再借由设备的执行路径落地命令，最终实现对设备机密性、完整性与可用性的全面破坏。
需要说明的是，公开描述没有给出具体端点路径、允许的文件类型、上传目录，也没有说明上传内容被执行的确切机制。因此不建议假设只过滤某个后缀就足以缓解——重命名、内容类型伪装、路径操纵都可能仍然有效。在固件升级或访问收敛完成之前，应把整个管理界面视为暴露面。
影响评估
- 工业与标签打印机常与工作站、生产系统共用同一扁平网段，Web 管理界面可能被生产线内任意主机访问。
- 设备一旦失守，影响不限于打印功能：可能被用作横向移动的跳板、打印内容篡改入口，或导致生产流程中断。
- 无认证要求意味着扫描器可以无差别批量尝试，暴露在公网或未分段网络上的设备风险最高。
修复建议
- 优先升级：将 PD45 固件升级到 F10.22.030745 或更高版本。
- 无法立即升级时，把管理界面限制在受信管理网段，通过防火墙或 ACL 只放行授权的管理主机，绝不直接暴露到互联网。
- 核查资产清单：确认设备型号、固件版本、管理 IP 与所在网段；未出现在受影响列表中的 PD45 固件版本不应默认视为安全，需向霍尼韦尔确认。
- 监测要点：管理界面的异常文件上传请求、设备的异常出站连接、非维护窗口的管理操作。