一位安全研究人员表示，广泛使用的门禁控制系统中默认密码的存在允许任何人轻松远程访问美国和加拿大数十栋建筑物的门锁和电梯控制。
现在拥有Enterphone MESH门禁系统的Hirsch公司拒绝修复这个漏洞，称该漏洞是设计上的问题，客户应该按照公司的设置说明更改默认密码。
据发现众多暴露建筑物的Eric Daigle称，这导致北美数十栋住宅和办公楼直接暴露在风险中，因为他们尚未更改门禁控制系统的默认密码或并不知道他们应该更改密码。
默认密码在与互联网连接的设备中并不罕见，也不一定是秘密；产品随附的密码通常旨在简化客户的登录访问，并经常在说明手册中找到。但是，依赖客户更改默认密码以防止未来恶意访问仍属于产品自身的安全漏洞。
在Hirsch的门禁产品中，安装系统的客户并未提示或要求更改默认密码。
因此，Daigle被正式称为发现了安全漏洞，形式上被指定为CVE-2025-26793。
没有计划修复
默认密码长期以来一直是互联网连接设备的一个问题，使恶意黑客能够使用这些密码登录，就像是合法所有者，窃取数据，或者劫持设备利用其带宽发动网络攻击。最近几年，各国政府已经开始督促科技制造商摆脱使用不安全的默认密码，鉴于它们带来的安全风险。
在Hirsch的门禁系统中，这个漏洞在漏洞严重性评级中被评为10分，这主要是因为任何人都可以轻松利用它。实际上，利用这个漏洞就像是从Hirsch的网站安装指南中获得默认密码，然后将密码插入到任何受影响建筑物系统的面向互联网的登录页面中一样简单。
Daigle在一篇博客文章中表示，去年他在家乡温哥华发现了一个由Hirsch制造的Enterphone MESH门禁面板。Daigle使用互联网扫描站点ZoomEye寻找连接到互联网上的Enterphone MESH系统，并发现仍然依赖默认提供的凭证的71个系统。
Daigle说，默认密码允许访问MESH的基于网络的后端系统，建筑物管理员使用该系统管理电梯、公共区域和办公室和住宅门锁的访问权限。每个系统显示了安装了MESH系统的建筑物的具体地址，使任何登录用户都可以知道他们可以访问的建筑物。
Daigle表示，可以在几分钟内有效地闯入任何受影响的建筑物中，而不会引起任何注意。
TechCrunch介入，因为Hirsch没有像Daigle这样的公众成员报告安全漏洞给公司的途径，如漏洞披露页面。
Hirsch首席执行官Mark Allen没有回应TechCrunch的置评请求，而是转而推给了一位资深Hirsch产品经理，后者告诉TechCrunch公司使用默认密码是“过时的”（没有说明原因）。产品经理表示同样令人担忧的是有些客户“安装系统后并没有遵循制造商的建议”，指的是Hirsch自己的安装说明。
Hirsch并未承诺公开披露有关该漏洞的详细信息，但表示已经联系了客户，要求他们遵循产品的说明手册。
由于Hirsch不愿意修复这个漏洞，一些建筑物及其居民可能会继续面临风险。该漏洞显示，昔日的产品开发选择可能会在多年后产生现实世界的影响。
