İki otomobil üreticisinin mobil uygulamalarında tespit edilen kritik güvenlik açığı, araçların uzaktan kontrol edilebildiğini ortaya çıkardı. Siber güvenlik araştırmacıları, kapı kilitlerini açıp motorları çalıştırırken araçların konum bilgilerine de ulaştı.
Araçların kilitleri uzaktan açıldı, motorları çalıştırıldı
Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, iki otomobil üreticisinin mobil uygulamalarında ciddi bir güvenlik açığı tespit etti. Araştırmacıların yayımladığı rapora göre, markaların müşteri hesaplarını yöneten ForgeRock altyapısında bulunan açık, araçların uzaktan kontrol edilmesine imkan tanıdı.
Şirketlerin talebi üzerine otomobil üreticilerinin isimleri açıklanmadı.
Sunuculara varsayılan şifreyle erişildi
Araştırmacılar, sistemlerdeki yönetim paneline erişmek için kullanılan güvenlik duvarının farklı web adresi yorumlaması nedeniyle aşılabildiğini belirledi. Panelin hem kullanıcı adı hem de parola alanında varsayılan “admin” bilgisini kabul etmesi, kritik bir güvenlik zafiyeti oluşturdu.
Sunucuya erişim sağlayan araştırmacılar, izinli bir test hesabının e-posta adresini ve şifresini değiştirerek mobil uygulama üzerinden yeni oturum açtı. Bu işlemle aracın konum bilgilerine ve uygulama üzerinden sunulan uzaktan kumanda özelliklerine erişildi.
Araç sahiplerinin hesapları risk altına girdi
Araştırmacılardan Shah, araç sahibi otomobilin yanındayken kapı kilitlerini uzaktan açtı ve motoru çalıştırdı. Hesap bilgilerinin değiştirilmesine rağmen araç sahibinin telefonundaki mevcut oturumun kapatılmaması da güvenlik açığının dikkat çeken ayrıntıları arasında yer aldı.
NTV'de yer alan bilgilere göre, Avustralya'daki sistemde test ortamı için oluşturulan yönetici bilgilerinin JavaScript dosyasına gömüldüğü ve aynı bilgilerin müşteri sisteminde de kullanılabildiği belirlendi. Araştırmacılar bu yöntemle izinli bir test aracının kapı kilidini açtı.
Güvenlik açıkları bildirimin ardından giderildi
Araştırmacılar, Şubat 2026'da ABD'de yalnızca test için izin veren araç sahiplerinin otomobillerinde saldırı yöntemini denedi. İki otomobil üreticisinin, bildirimin ardından aynı gün açıkları kapattığı ve etkilenen erişim bilgilerini yenilediği belirtildi.
Bununla birlikte, Avustralya'daki güvenlik açığının ne zaman giderildiği ve araştırmacılar dışında kişiler tarafından kullanılıp kullanılmadığı kamuya açık raporlarda yer almadı.
