安全研究人员发现两家车企的联网汽车后端身份认证系统存在高危漏洞，攻击者可以绕过防护接管车主账号，直接远程解锁车门、启动发动机、鸣笛闪灯，还能读取车辆位置、里程、电池油量等敏感信息，涉事车企没有对外公开名字，漏洞已经在收到报告后大约两小时完成紧急修复。这次漏洞不是车机硬件本身被攻破，问题出在车企配套的手机 APP、ForgeRock 身份管理平台上，一边是预发布环境的管理员硬编码凭据直接能用在正式生产环境，另一边是管理控制台保留默认 admin 账号密码，再搭配路径遍历漏洞绕过防火墙，攻击者不需要拿到车主账号密码，就能生成合法访问令牌下发车辆远程指令。研究人员在澳大利亚、美国、加拿大区域完成验证，攻击分两种链路，澳洲链路可以通过车牌查到 VIN 码，再调用 API 拿到车主邮箱；美国链路更复杂，利用默认凭据进入管理控制台执行脚本获取权限，整个攻击全程只靠网络，不需要靠近车辆。目前漏洞补丁已经上线，不过这件事也给所有联网车车主提了醒，车联网安全短板大多藏在云端后台，不是只有车机才会有风险，日常尽量开启二次验证，留意 APP 账号异常登录提醒。
漏洞核心信息一览
| 项目 | 详情 |
|---|---|
| 发现人员 | Shubham Shah、Sam Curry |
| 受影响对象 | 两家未公开名称车企的联网车辆（覆盖美国、澳洲、加拿大） |
| 漏洞位置 | 车联网后端 ForgeRock 身份认证平台、移动端 APP 配套 API |
| 可执行操作 | 远程解锁车门、启停发动机、鸣笛、闪灯、读取车辆位置、车况、车主信息 |
| 核心缺陷 | 硬编码管理员凭据、管理后台默认密码、路径遍历绕过 WAF 防火墙、可绕过 MFA |
| 修复节奏 | 厂商收到漏洞报告后约 2 小时完成补丁修复 |
| 测试范围 | 仅在获得授权的测试车辆上演示攻击 |
两条攻击链路拆解
- 澳洲侧攻击链路
- 美国侧攻击链路
先用公开车牌查询工具拿到车辆 VIN 码，调用内部 API 获取车主邮箱；再利用预发布环境硬编码的管理员凭据，搭配路径遍历漏洞绕过防火墙，调用后台管理员 API，生成身份令牌接管账号，下发远程控车指令。
通过路径混淆绕过安全过滤，访问 Apache Felix 管理控制台，使用出厂默认 admin 账号登录；执行 Groovy 脚本拿到身份服务器命令行权限，查询、修改用户账户数据，拿到访问权限后远程控制车辆。
车主可以做的防护动作清单
- 联网车 APP 尽量开启多重验证 MFA，降低账号被接管风险
- 不要随意在陌生网站、小程序填写自己车牌、VIN 码、车辆信息
- 留意车企 APP 登录提醒，异地登录、陌生设备登录立刻修改密码
- 非必要的时候，不用远程启动、远程解锁等功能，减少暴露面
- 关注车企官方推送的安全更新，收到车联网安全通知及时处理
需要分清的重点误区
- 不是车机被破解：漏洞根源是云端身份管理后台，不是车内电控单元
- 漏洞已经修复：不是现在还能随便攻击，白帽上报之后厂商快速打补丁
- 车企信息保密：研究人员和车企约定，不对外公布两家车企具体品牌
- 不是随便一台车就能攻击：只针对这两家车企、使用这套身份平台的联网车型
【相关 FAQ】
问题 1：两家车企联网汽车曝出远程解锁漏洞，这个漏洞到底能干什么？
回答 1：两家车企联网汽车曝出远程解锁漏洞，攻击者成功利用漏洞接管车主账号，能够远程解锁车门、启动或者熄火发动机、控制车辆鸣笛闪灯，还能获取车辆位置、里程、续航、车主个人信息。
问题 2：两家车企联网汽车曝出远程解锁漏洞，漏洞是出在车上面还是手机 APP 后台？
回答 2：两家车企联网汽车曝出远程解锁漏洞，漏洞不在车辆硬件，而是车企用来管理车主账号的 ForgeRock 身份认证后台，配套手机 APP 的 API 也存在缺陷，攻击者靠云端后台拿到控车权限。
问题 3：两家车企联网汽车曝出远程解锁漏洞，现在这个漏洞还能用吗？
回答 3：两家车企联网汽车曝出远程解锁漏洞，安全研究人员提交漏洞之后，涉事车企在大约两小时内完成补丁修复，目前该漏洞已经被封堵，无法继续利用。
问题 4：两家车企联网汽车曝出远程解锁漏洞，普通车主怎么保护自己的联网车？
回答 4：面对两家车企联网汽车曝出远程解锁漏洞这类风险，车主可以开启 APP 多重验证、不随意泄露车牌和 VIN 码、关注陌生登录提醒、及时修改账号密码，减少车辆信息外泄。
问题 5：两家车企联网汽车曝出远程解锁漏洞，已经公布是哪两个车企了吗？
回答 5：两家车企联网汽车曝出远程解锁漏洞，研究人员和车企达成保密约定，没有对外披露涉事车企的具体品牌名称。
【参考资料】
[2026-11-12]（Car app security flaw let researchers remotely unlock and start vehicles）CarExpert
[2026-11-10]（研究人员攻破两家车企 Android 应用 可远程解锁车辆并鸣笛）CNMO 科技
[2026-11-10]（Two Major Car Brands’ Apps Exposed: Researchers Hijack Customer Accounts and Unlock Cars Remotely）Undercode News
[2026-11-09]（Researchers pwn automakers’ Android apps to remotely unlock cars, honk horns）JEDI-SEC
[2026-11-09]（Carmakers breached via “admin” default password flaw）Cybernews
【免责声明】
本文内容仅为两家车企联网汽车远程解锁漏洞的安全事件信息整理，漏洞相关攻击手段仅用于安全研究，禁止私自尝试。本次漏洞已经完成修复，不代表所有联网车型都存在同类风险，本文不构成购车、用车安全担保，车主账号安全请以车企官方通知为准。
本文来自作者[栗子]投稿，不代表新品牌网立场，如若转载，请注明出处：https://www.china12315.com.cn/ppzx/202611/581.html
评论列表（4条）
我是新品牌网的签约作者“栗子”！
希望本篇文章《两家车企联网汽车曝出远程解锁漏洞，可接管账号、远程启动车辆》能对你有所帮助！
本站[新品牌网]内容主要涵盖：互联网行业的追踪与探索
本文概览：安全研究人员发现两家车企的联网汽车后端身份认证系统存在高危漏洞，攻击者可以绕过防护接管车主账号，直接远程解锁车门、启动发动机、鸣笛闪灯，还能读取车辆位置、里程、电池油量等敏感信息，涉事车企没有对外公开名字，漏洞已经在收到报告后大约两小时完成紧急修复。这次漏洞不是车机硬件本身被攻破，问题出在车企配套的手机 APP、ForgeRock 身份管理平台上，一边是预发布环境的管理员硬编码凭据直接能用在正式生产环境，另一边是管理控制台保留默认 admin 账号密码，再搭配路径遍历漏洞绕过防火墙，攻击者不需要拿到车主账号密码，就能生成合法访问令牌下发车辆远程指令。研究人员在澳大利亚、美国、加拿大区域完成验证，攻击分两种链路，澳洲链路可以通过车牌查到 VIN 码，再调用 API 拿到车主邮箱；美国链路更复杂，利用默认凭据进入管理控制台执行脚本获取权限，整个攻击全程只靠网络，不需要靠近车辆。目前漏洞补丁已经上线，不过这件事也给所有联网车车主提了醒，车联网安全短板大多藏在云端后台，不是只有车机才会有风险，日常尽量开启二次验证，留意 APP 账号异常登录提醒。