İki Otomobil Markasında Güvenlik Açığı: Araçlar Uzaktan Kontrol Edilebildi

Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, iki farklı otomobil üreticisinin araçlarına uzaktan erişim sağlayarak kapı kilitlerini açmayı ve motoru çalıştırmayı başardı. Araştırmacılar, her iki üreticinin de müşteri hesaplarını yönetmek için kullandığı ForgeRock kimlik yönetimi altyapısında önemli bir güvenlik açığı tespit etti.

Varsayılan Şifreler Panele Erişimi Kolaylaştırdı

İncelemelerde, yönetim paneline girişte “admin” kullanıcı adı ve şifresinin kullanıldığı belirlendi. Güvenlik duvarı ile sunucu arasındaki adres yorumlama farkı nedeniyle araştırmacılar bu panele erişim sağladı. Platformun sahibi Ping Identity, söz konusu panelin canlı sistemlerde kaldırılmasını veya erişim bilgilerinin değiştirilmesini öneriyordu.

Sisteme sızan araştırmacılar, izinli bir test hesabının bilgilerini değiştirerek mobil uygulama üzerinden yeni bir oturum açtı. Bu yöntemle aracın konumuna ve uzaktan kontrol işlevlerine ulaşıldı. Yapılan testlerde, araç sahibinin telefonundaki mevcut oturum kapanmadan uzaktan komutla aracın kapılarının açıldığı ve motorun çalıştırıldığı görüldü.

Farklı Bölgelerde Benzer Riskler

Avustralya’da yapılan ayrı bir incelemede ise test ortamı için hazırlanan yönetici bilgilerinin bir JavaScript dosyasına gömülü olduğu ve aynı bilgilerin müşteri sistemlerinde de aktif olduğu ortaya çıkarıldı. Uzmanlar, bu yöntemlerle ABD, Kanada ve Avustralya’daki bağlı araçların hedef alınabildiğini belirtti.

Şubat 2026’da gerçekleşen kontrollü testlerin ardından üreticiler, bildirilen açıkları aynı gün içerisinde gidererek erişim bilgilerini yeniledi.