研究人員 Shubham Shah 與 Sam Curry 於 11 月 7 日揭露，2026 年初在兩家未具名車廠處理客戶登入的正式環境 ForgeRock 伺服器上找到漏洞鏈並取得遠端程式碼執行，可為任一客戶帳號建立有效工作階段，並對連網車輛定位、解鎖與遠端發動引擎 [1]。The Hacker News 報導指出，伺服器上的 Apache Felix 管理主控台仍使用文件記載的預設帳密 admin:admin，研究人員利用邊緣防護與後端對網址解讀不一致繞過封鎖 [1][2]。兩家車廠在收到通報後約兩小時完成修補並輪替受影響憑證，使用 ForgeRock（PingIDM）的團隊應檢查並移除 /system/console 主控台或更改預設密碼 [1][2]。
中已解決研究者揭露
研究人員利用 ForgeRock 預設 admin:admin 管理主控台入侵兩家車廠身分伺服器，可接管客戶帳號並遠端解鎖、發動車輛
閱讀約 1 分鐘
- 揭露
- 2026年11月7日
- 發布
- 2026年11月10日
- 最後更新
- 2026年11月10日
- CVSS 依據
- 本站評估
- 初始入侵方式
- 影響
- 攻擊者類型
- 動機
本頁內容
30 秒摘要
事件時間軸
技術細節
發生什麼
研究人員表示，兩家車廠的 App 皆透過 ForgeRock 管理客戶帳號與登入，他們在正式環境取得後，可為受影響部署中的任一客戶帳號建立工作階段 [1]。
攻擊手法
OpenIDM 內建的 Apache Felix Web Console 仍接受文件記載的預設帳密 admin:admin，研究人員以編碼斜線與路徑參數讓邊緣防護將請求視為靜態檔案，再透過排程功能執行程式碼取得 shell [1]。The Hacker News 報導，研究人員隨後更改測試帳號的電子郵件與密碼並以 App 正常登入，取得車輛指令所需權杖 [2]。
修補狀態
研究人員稱兩家車廠於收到通報當天約兩小時內修補並輪替受影響憑證；The Hacker News 指出此為部署設定問題而非產品新漏洞，因此沒有 或廠商公告 [1][2]。
修復指引
參考來源
研究機構1
- [1]
“After we reported the vulnerability, both automakers fixed it within about two hours and rotated the affected credentials.”
媒體報導1
- [2]
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。