Editoryal haber görseli · İki otomobil markasında “admin” şifresiyle uzaktan erişim · Mirat Haber
Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, ABD’de iki otomobil markasının mobil uygulama altyapısındaki açıkları kullanarak izinli test araçlarının kilitlerini açtı ve motorlarını çalıştırdı. NTV’nin Anadolu Ajansı kaynaklı haberine göre, Şubat 2026’daki testlerde yönetim panelinin varsayılan “admin” kullanıcı adı ve parolasını kabul ettiği belirlendi. Erişim, araçların konumunu ve uygulama üzerinden sunulan uzaktan kumanda işlevlerini de kapsıyordu.
Araştırmacıların raporuna göre yönetim paneline doğrudan erişim, güvenlik duvarıyla engelleniyordu. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı yorumlaması, bu engelin aşılmasına imkân verdi. Ulaşılan panelde hem kullanıcı adı hem de parola olarak “admin” bilgisi geçerliydi.
Burada kullanılan bilgiler, araç sahibinin kişisel hesabına değil, altyapının yönetim paneline aitti. Araştırmacılar sunucuya eriştikten sonra izinli test hesabının e-posta adresini ve şifresini değiştirerek mobil uygulamada yeni bir oturum açtı.
Platformun sahibi Ping Identity’nin güvenlik kılavuzu ise bu panelin canlı sistemden kaldırılmasını veya erişim bilgilerinin değiştirilerek korunmasını öneriyor. Raporda aktarılan yapılandırma, bu koruma önerileriyle birlikte değerlendirildiğinde yönetim panelinin güvenliğinin olayın merkezinde olduğunu gösteriyor. İzinli testte hesabın e-posta adresi ve şifresi değiştirilmesine rağmen araç sahibinin telefonundaki mevcut oturum kapanmadı. Buna karşılık araştırmacılar, yeni açtıkları oturumdan aracın konumuna ve uygulamanın desteklediği uzaktan kumanda işlevlerine erişebildi. Böylece aynı hesap üzerinden araç sahibinin oturumu sürerken başka bir oturumdan da komut gönderilebildiği görüldü.
Shah, araç sahibi otomobilin yanındayken kapı kilitlerini açtı ve motoru çalıştırdı. Testin ortaya koyduğu sonuç, yalnızca hesap bilgilerine erişimle sınırlı değildi; uygulamanın sunduğu fiziksel araç işlevleri de kullanılabildi. Bildirimin ardından uygulanan düzeltme ise araç üzerinde denenen açığın kapatılmasını ve etkilenen erişim bilgilerinin yenilenmesini kapsadı.
Shah’ın ayrı raporunda, Avustralya’daki bir sistemde test ortamı için hazırlanmış yönetici bilgilerinin JavaScript dosyasına gömüldüğü belirtildi. Aynı bilgilerin müşterilere hizmet veren sistemde de geçerli olduğu görüldü. Araştırmacılar bu yolla, izinli bir test aracının kapı kilidini açtı. Shah, iki çalışmanın birlikte ABD, Kanada ve Avustralya’daki bağlı araçlara uzaktan komut gönderilebildiğini gösterdiğini belirtiyor. Bununla birlikte ABD’deki testlerde aktarılan motor çalıştırma işlemi ile Avustralya’daki kapı kilidi açma testi ayrı bulgular olarak yer alıyor. Avustralya’daki açığın ne zaman kapatıldığı ve yöntemlerin araştırmacılar dışında kullanılıp kullanılmadığı kamuya açık raporlarda belirtilmiyor.
İki markanın adı açıklanmadı. Araştırmacılar, şirketlerin talebi üzerine bu bilgiyi paylaşmadı.
İki üretici, ABD’de araç üzerinde denenen açığı bildirimin ardından aynı gün giderdi ve etkilenen erişim bilgilerini yeniledi. Avustralya’daki ayrı açığın ne zaman kapatıldığı kamuya açık raporlarda belirtilmedi.
İncelemenin temel bulguları
Güvenlik duvarının arkasındaki panele erişildi
Araç sahipleri açısından ne değişti?
Avustralya’daki bulgu farklı bir erişim yoluna dayanıyor
Hangi bilgiler açıklandı, hangileri belirsiz?
Etkilenen otomobil markaları hangileri?
Açıkların tamamı giderildi mi?
ABD-İran geriliminin azalacağı beklentisi Brent petrolü 90 doların altına çekti. Fiyat yeniden 90,35 dolara yükselirken,…
NTV'nin haberine göre GTA 6, ön sipariş veren konsol kullanıcıları için ön indirmeye açıldı. Oyunun…
AB Komisyonu Başkanı von der Leyen, Karadeniz Deniz Güvenliği Merkezi için finansman açıkladı; Türkiye, Romanya…
DÜNYAYI KURTARMAK İSTEYENLER, GAZZE’DEKİ ÇOCUKLARI NEDEN KURTARAMIYOR? Dünya, iklim krizini konuşuyor. Küresel ısınma, çevre kirliliği,…
Sözcü'nün haberine göre ABD, İran kaynaklı tehdit gerekçesiyle İngiltere'deki Mildenhall üssünden uçaklarını sevk etti; iki…
AA’nın aktardığına göre FDA, diyabet ve obezite tedavisinde kullanılan GLP-1 etkili ilaçların güvenlik etiketlerine olası…
