Сэм Карри и Шубхам Шах раскрыли 7 ноября цепочку уязвимостей, позволявшую через серверы входа двух неназванных автопроизводителей получать доступ к аккаунтам и дистанционным функциям машин. На тестовых автомобилях в США они подтвердили открытие дверей, запуск и остановку двигателя — с разрешения владельцев.

Защита ломалась на стыке систем. Веб-фильтр считал специально сформированный адрес запросом статического файла, а сервер направлял его в закрытую административную консоль Apache Felix. Там сработали стандартные учётные данные admin:admin. Через планировщик OpenIDM исследователи смогли выполнить код на сервере управления аккаунтами.

Дальше они меняли почту и пароль выбранного пользователя. Одноразовый код входа приходил уже на подконтрольный адрес, после чего официальный механизм авторизации выдавал доступ к автомобильному приложению. У владельца прежний сеанс при этом оставался активным.

Доступ соответствовал возможностям приложения: местоположение, телеметрия и поддерживаемые машиной команды при действующей подписке. Авторы проверили всю цепочку только на американских аккаунтах и автомобилях; доступ к каталогам учётных записей затрагивал несколько регионов. Число потенциально затронутых владельцев не раскрыто.

Исследование и закрытое уведомление относятся к началу 2026 года. По словам исследователей, оба производителя устранили проблему примерно за два часа после сообщения и сменили затронутые учётные данные. Отчёт описывает исследовательскую демонстрацию; сведений о преступной эксплуатации в нём нет.