Siber güvenlik araştırmacıları Sam Curry ve Shubham Shah, iki otomobil üreticisinin dijital sistemlerinde araçlara uzaktan erişim sağlanmasına yol açan güvenlik açıkları tespit etti. Araştırmacılar, yönetici panelinde varsayılan kullanıcı adı ve şifrenin kullanılmaya devam ettiğini belirledi. İzinli testlerde otomobillerin kapıları açıldı, motorları uzaktan çalıştırıldı. Üreticilerin isimleri ise açıklanmadı.
YÖNETİCİ PANELİNE “ADMIN” ŞİFRESİYLE GİRİLDİ
Sam Curry ve Shubham Shah'ın 7 Kasım 2026'da yayımladıkları araştırmaya göre iki otomobil üreticisi, müşteri hesaplarını yönetmek için ForgeRock adlı kimlik yönetimi altyapısını kullanıyordu.
Araştırmacılar, güvenlik duvarı ile sunucunun internet adreslerini farklı yorumlamasından kaynaklanan bir açık tespit etti. Bu yöntemle normalde doğrudan erişime kapalı olan yönetici paneline ulaşabildiler. Panelde hem kullanıcı adı hem de parola olarak varsayılan “admin” bilgisinin kullanılmaya devam ettiği belirlendi.
ARAÇLARIN KAPILARI AÇILDI, MOTORLARI ÇALIŞTIRILDI
Araştırmacılar, üreticilerin izniyle yürüttükleri testlerde bir kullanıcı hesabının e-posta adresini ve şifresini değiştirdi. Ardından mobil uygulama üzerinden hesaba giriş yaparak aracın konum bilgilerine ve uzaktan kontrol özelliklerine eriştiler.
Test sırasında aracın kapıları uzaktan açıldı ve motoru çalıştırıldı. Hesap bilgilerinin değiştirilmesine rağmen araç sahibinin telefonundaki mevcut oturumun kapanmadığı da tespit edildi.
AVUSTRALYA'DA İKİNCİ GÜVENLİK AÇIĞI BULUNDU
Shubham Shah'ın ayrı araştırmasında, Avustralya'daki sistemlerde farklı bir güvenlik sorunu ortaya çıkarıldı. Test ortamında kullanılması için hazırlanan yönetici bilgilerinin bir JavaScript dosyasında bulunduğu ve aynı bilgilerin gerçek müşteri sisteminde de geçerli olduğu belirlendi.
Araştırmacılar, izinli bir test aracının kapı kilidini bu yöntemle uzaktan açmayı başardı. İki araştırma, ABD, Kanada ve Avustralya'daki bağlantılı araç sistemlerinde uzaktan erişim riskini ortaya koydu.
GÜVENLİK AÇIKLARI ŞİRKETLERE BİLDİRİLDİ
ABD'deki testler Şubat 2026'da, araç sahiplerinin onayıyla gerçekleştirildi. Araştırmacıların bildirimlerinin ardından iki üretici, tespit edilen açıkları aynı gün kapattı ve etkilenen erişim bilgilerini yeniledi. Avustralya'daki güvenlik açığının ne zaman giderildiğine ilişkin ise kamuya açık araştırmalarda kesin bir tarih paylaşılmadı.
