Две цепочки уязвимостей автомобильных приложений для Android позволяли исследователям удалённо разблокировать машины, запускать двигатель, включать фары и сигнал. Проблема была не в бортовом компьютере автомобиля, а в серверной инфраструктуре мобильных сервисов: для IT-команд это очередное напоминание, что приложение для машины — фактически пульт управления физическим устройством.
Об исследовании Шубхама Шаха, сооснователя Assetnote, и специалиста по безопасности Сэма Карри сообщает The Register. В начале 2026 года они изучили Android-приложения двух крупных автопроизводителей, чьи названия по просьбе компаний не раскрываются. Исследователи собрали разные, но похожие по смыслу маршруты атаки для Австралии и США: в обоих случаях получили контроль над аккаунтами владельцев, а затем выпускали токены авторизации для штатных команд автомобилю.
В австралийском варианте атака начиналась с VIN. Его можно было найти через публичные сервисы проверки регистрационных номеров, а затем использовать в запросах к внутренним API. Ответы раскрывали персональные данные и адреса электронной почты владельцев. Дальше исследователи обнаружили в приложении учётные данные администратора ForgeRock OpenIDM: они предназначались для тестовой среды, но работали и в production.
Добраться до административных API мешал веб-экран WAF, однако его фильтрацию удалось обойти через path traversal — манипуляции с путём в URL. После этого Шах и Карри могли захватывать учётную запись, зная только e-mail владельца. Получив административный доступ, они выпускали токены и отправляли автомобилю команды из тех же функций, которыми пользуется официальный мобильный клиент.
Американская цепочка оказалась сложнее. По словам Шаха, инфраструктуру OpenIDM для США, Канады и Европы производитель защищал заметно тщательнее. Тем не менее исследователи снова обошли WAF, на этот раз используя путаницу в обработке путей, и добрались до административной консоли Apache Felix. В её OSGi Web Console оставили заводские логин и пароль.
Заводские учётные данные дали права администратора. Через менеджер конфигурации Apache Felix исследователи запланировали задачу с встроенным Groovy-скриптом и получили shell-доступ к серверам идентификации. После этого они обращались к локальным административным API, читали и меняли сведения об аккаунтах, входили в кабинеты владельцев и повторяли сценарий с удалёнными командами. Сам автомобиль при этом не «взламывали» напрямую: слабым звеном оказался контур идентификации, которому доверяла вся цепочка.
Исследователи сообщили автопроизводителям о находках в начале 2026 года. Согласно таймлайну Карри, обе цепочки закрыли в течение двух часов после уведомления. Такая скорость исправления хороша для владельцев, но неудобна для тех, кто рассчитывает свести защиту подключённого автомобиля к безопасности приложения и API-шлюза. Здесь одновременно сработали несколько базовых провалов: утечка production-доступа в клиентское приложение, отсутствие сегментации между staging и production, дефолтный пароль в админ-консоли и возможность обойти WAF.
Для разработчиков и владельцев платформ вывод практический: WAF не должен быть единственной границей между интернетом и административными компонентами. Административные API и консоли стоит изолировать на сетевом уровне, сервисные секреты — исключить из мобильных сборок, а дефолтные учётные записи — отключать ещё до развёртывания. Для команд IAM особенно важна проверка того, какие привилегии даёт выпуск токена: если токен открывает доступ к запуску двигателя, это уже не просто ошибка в профиле пользователя.
Уязвимости автомобильных приложений будут становиться дороже по мере того, как удалённые функции превращаются из маркетинговой опции в стандартную часть владения машиной. Автопроизводителям придётся относиться к мобильному аккаунту и identity-серверу как к компонентам системы физической безопасности — с тем же уровнем контроля, аудита и моделирования угроз. Детали исследования и демонстрационные материалы опубликованы у .
