Уязвимости ForgeRock позволили исследователям удалённо открывать и заводить авто двух производителей
Шубхам Шах и Сэм Карри нашли уязвимости в системе аутентификации ForgeRock; оба производителя исправили их примерно через два часа после уведомления.
Исследователи безопасности Шубхам Шах и Сэм Карри сообщили об уязвимостях в системах некоторых автопроизводителей, которые позволяли удалённо открывать двери автомобилей и запускать двигатель, пишет gigazine.net 10 ноября 2026 года gigazine.net
gigazine.netgigazine.netОткрыть источник ↗. Исследователи изучили ForgeRock, систему аутентификации, которую используют автопроизводители, и нашли в ней несколько уязвимостей. Названия производителей не раскрыты. Современные автомобили позволяют владельцам запирать, отпирать и заводить машину со смартфона, поэтому ошибка в системе, связывающей авто и телефон, может передать управление третьему лицу.
Уязвимости ForgeRock в Австралии и США
По словам Шаха, в Австралии по номерному знаку можно было узнать идентификационный номер автомобиля (VIN), а по нему определить аккаунт владельца. Используя уязвимость в системе аутентификации, исследователи могли также сменить пароль и управлять автомобилем удалённо.
Карри и его коллеги нашли уязвимость в системе аутентификации в США. Выполнив на сервере несанкционированный код, они могли открывать двери, запускать и останавливать двигатель и получать данные о местоположении, сообщили они. По словам команды, команды можно было отправлять на автомобили в Австралии, США и Канаде. Какие функции действительно работали, зависело от модели и подписки на сервис.
Раскрытие информации и затронутые производители
Исследователи не назвали производителей. На новостном сайте для инженеров Hacker News комментаторы предположили, что речь о Toyota и Lexus, отметив, что автомобиль на проверочном видео похож на Toyota RAV4. На момент написания материала это не подтверждено gigazine.net
gigazine.netgigazine.netОткрыть источник ↗.
Об уязвимостях сообщили двум автопроизводителям в начале 2026 года, и оба исправили их примерно через два часа после получения сообщения. Карри и его коллеги опубликовали результаты 7 ноября 2026 года, после исправления, и заявили, что затронутые учётные данные также обновлены.
