islami haberdini haberortadoğu haberleriislam coğrafyası
DOLAR
50,2336
EURO
56,0868
ALTIN
6.508,80
BIST
11.661,86
Adana Adıyaman Afyon Ağrı Aksaray Amasya Ankara Antalya Ardahan Artvin Aydın Balıkesir Bartın Batman Bayburt Bilecik Bingöl Bitlis Bolu Burdur Bursa Çanakkale Çankırı Çorum Denizli Diyarbakır Düzce Edirne Elazığ Erzincan Erzurum Eskişehir Gaziantep Giresun Gümüşhane Hakkari Hatay Iğdır Isparta İstanbul İzmir K.Maraş Karabük Karaman Kars Kastamonu Kayseri Kırıkkale Kırklareli Kırşehir Kilis Kocaeli Konya Kütahya Malatya Manisa Mardin Mersin Muğla Muş Nevşehir Niğde Ordu Osmaniye Rize Sakarya Samsun Siirt Sinop Sivas Şanlıurfa Şırnak Tekirdağ Tokat Trabzon Tunceli Uşak Van Yalova Yozgat Zonguldak
İstanbul
Hafif Yağmurlu
13°C
İstanbul
13°C
Hafif Yağmurlu
Çarşamba Az Bulutlu
17°C
Perşembe Az Bulutlu
20°C
Cuma Az Bulutlu
20°C
Cumartesi Yağmurlu
20°C

İki otomobil markasında “admin” şifresiyle uzaktan erişim

Araştırmacılar, izinli testlerde iki markanın araçlarına uzaktan erişerek kapıları açtı ve motoru çalıştırdı. ABD’de denenen açık, bildirildiği gün giderildi.

İki otomobil markasında “admin” şifresiyle uzaktan erişim
TEKNOLOJİ
Mirat Haber
11/11/2026 00:49
A+
A-

Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, ABD’de iki otomobil markasının mobil uygulama altyapısındaki açıkları kullanarak izinli test araçlarının kilitlerini açtı ve motorlarını çalıştırdı. NTV’nin Anadolu Ajansı kaynaklı haberine göre, Şubat 2026’daki testlerde yönetim panelinin varsayılan “admin” kullanıcı adı ve parolasını kabul ettiği belirlendi. Erişim, araçların konumunu ve uygulama üzerinden sunulan uzaktan kumanda işlevlerini de kapsıyordu.

İncelemenin temel bulguları

  • İki üreticinin mobil uygulamalarına giriş, ForgeRock kimlik yönetimi altyapısı üzerinden yapılıyordu.
  • Araştırmacılar, şirketlerin talebi üzerine marka adlarını açıklamadı.
  • ABD’deki tam saldırı testleri, yalnızca araç sahiplerinin onay verdiği otomobillerde gerçekleştirildi.
  • İki üretici, araç üzerinde denenen açığı bildirim günü gidererek etkilenen erişim bilgilerini yeniledi.

Güvenlik duvarının arkasındaki panele erişildi

Araştırmacıların raporuna göre yönetim paneline doğrudan erişim, güvenlik duvarıyla engelleniyordu. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı yorumlaması, bu engelin aşılmasına imkân verdi. Ulaşılan panelde hem kullanıcı adı hem de parola olarak “admin” bilgisi geçerliydi.

Burada kullanılan bilgiler, araç sahibinin kişisel hesabına değil, altyapının yönetim paneline aitti. Araştırmacılar sunucuya eriştikten sonra izinli test hesabının e-posta adresini ve şifresini değiştirerek mobil uygulamada yeni bir oturum açtı.

Platformun sahibi Ping Identity’nin güvenlik kılavuzu ise bu panelin canlı sistemden kaldırılmasını veya erişim bilgilerinin değiştirilerek korunmasını öneriyor. Raporda aktarılan yapılandırma, bu koruma önerileriyle birlikte değerlendirildiğinde yönetim panelinin güvenliğinin olayın merkezinde olduğunu gösteriyor.

Araç sahipleri açısından ne değişti?

İzinli testte hesabın e-posta adresi ve şifresi değiştirilmesine rağmen araç sahibinin telefonundaki mevcut oturum kapanmadı. Buna karşılık araştırmacılar, yeni açtıkları oturumdan aracın konumuna ve uygulamanın desteklediği uzaktan kumanda işlevlerine erişebildi. Böylece aynı hesap üzerinden araç sahibinin oturumu sürerken başka bir oturumdan da komut gönderilebildiği görüldü.

Shah, araç sahibi otomobilin yanındayken kapı kilitlerini açtı ve motoru çalıştırdı. Testin ortaya koyduğu sonuç, yalnızca hesap bilgilerine erişimle sınırlı değildi; uygulamanın sunduğu fiziksel araç işlevleri de kullanılabildi. Bildirimin ardından uygulanan düzeltme ise araç üzerinde denenen açığın kapatılmasını ve etkilenen erişim bilgilerinin yenilenmesini kapsadı.

Avustralya’daki bulgu farklı bir erişim yoluna dayanıyor

Shah’ın ayrı raporunda, Avustralya’daki bir sistemde test ortamı için hazırlanmış yönetici bilgilerinin JavaScript dosyasına gömüldüğü belirtildi. Aynı bilgilerin müşterilere hizmet veren sistemde de geçerli olduğu görüldü. Araştırmacılar bu yolla, izinli bir test aracının kapı kilidini açtı.

Shah, iki çalışmanın birlikte ABD, Kanada ve Avustralya’daki bağlı araçlara uzaktan komut gönderilebildiğini gösterdiğini belirtiyor. Bununla birlikte ABD’deki testlerde aktarılan motor çalıştırma işlemi ile Avustralya’daki kapı kilidi açma testi ayrı bulgular olarak yer alıyor. Avustralya’daki açığın ne zaman kapatıldığı ve yöntemlerin araştırmacılar dışında kullanılıp kullanılmadığı kamuya açık raporlarda belirtilmiyor.

Hangi bilgiler açıklandı, hangileri belirsiz?

Etkilenen otomobil markaları hangileri?

İki markanın adı açıklanmadı. Araştırmacılar, şirketlerin talebi üzerine bu bilgiyi paylaşmadı.

Açıkların tamamı giderildi mi?

İki üretici, ABD’de araç üzerinde denenen açığı bildirimin ardından aynı gün giderdi ve etkilenen erişim bilgilerini yeniledi. Avustralya’daki ayrı açığın ne zaman kapatıldığı kamuya açık raporlarda belirtilmedi.

İlgili Haberler

Yorumlar

Henüz yorum yapılmamış. İlk yorumu yukarıdaki form aracılığıyla siz yapabilirsiniz.