İki otomobil üreticisinin bağlantılı araçlarında uzaktan kapı açma ve motor çalıştırma açığı

Kısaca

İki güvenlik araştırmacısı, 2026 başında iki büyük otomobil üreticisinin araç bağlantı altyapısında uzaktan kapı açma ve motor çalıştırmaya izin veren açıklar buldu. Açıklar, sunucu API'lerindeki sabit kodlanmış yönetici kimlik bilgileri ve atlatılan MFA gibi temel hatalardan kaynaklandı; üreticiler açıkları hızla yamaladı. Saldırılar araç konumu, kilometre, yakıt ve müşteri bilgilerini de açığa ç

Ne oldu?

Güvenlik araştırmacıları Shubham Shah ve Sam Curry, 2026'nın başında iki büyük otomobil üreticisinin mobil uygulamalarının bağlandığı sunucu altyapısında ciddi açıklar buldu. Açıklar sayesinde internetten bağlantılı herhangi bir aracın kapıları uzaktan açılabiliyor ve motoru çalıştırılabiliyordu. Her iki üretici de açıkları hızla kapattı.

Neler sızdı?

Kapı ve motor kontrolünün yanında açıklar araçların konumunu, kilometresini, yakıt ve menzil bilgisini, kapı durumlarını ve müşterilerin kişisel bilgilerini de açığa çıkarıyordu. Araştırmacılar etkilenen üreticilerin adını açıklamadı; ancak ikinci firmanın gösterim videosundaki araç görüntüsü Toyota'ya işaret ediyor.

Hatalar neredeydi?

Sorunlar ForgeRock'un kimlik doğrulama servislerinde değil, üreticilerin bu servisleri uygulama biçimindeydi:

İnternetten erişilebilen bir "test harness" giriş sayfası
Gereksiz kod barındırmaması gereken JavaScript paketinde arka ucun tüm işlevselliği ve sabit kodlanmış yönetici kimlik bilgileri
Bu bilgilerle herhangi bir kullanıcı için erişim belirteci üretilebilmesi
Plaka ve VIN gibi herkese açık bilgilerle müşteri e-postasına ulaşılabilmesi

Neden önemli?

Araştırmacılar, güvenlik duvarının (WAF) muhtemelen altyapının altındaki zafiyetleri gizlemek için konduğunu düşünüyor. Olay, bağlantılı araçların arka uçlarında temel güvenlik pratiklerinin ne kadar kritik olduğunu gösteriyor.