两名安全研究员 Shubham Shah 和 Sam Curry 发现两家车企的 Android 车控 App 以及配套身份认证平台存在漏洞，能在远程状态下控制美国、澳大利亚地区的联网车辆，操作包含解锁车门、鸣笛、闪灯、启动发动机，整个攻击不需要接触实车，只靠网络链路完成账户接管下发指令，涉事车企没有对外公开名字，漏洞依托 ForgeRock 身份平台的配置问题，分两套不同攻击链路，车企收到漏洞报告之后，只用两小时就完成漏洞修复，这次事件也暴露出车联网后台把测试环境凭据、默认管理员账号直接留在正式生产环境的典型安全隐患，下面把漏洞细节、两种攻击路径、风险点、车主自查方式拆开讲清楚。
一、漏洞事件核心信息清单
- 研究人员：Shubham Shah（Assetnote）、Sam Curry
- 攻击对象：两家未公开身份车企的 Android 官方车控 App，覆盖美国、澳大利亚联网车辆
- 可执行操作：远程解锁车辆、鸣笛、闪烁车灯、启动发动机
- 漏洞根源：ForgeRock OpenIDM 身份平台配置错误、路径遍历漏洞、防火墙绕过、默认硬编码管理员凭据
- 漏洞修复时效：车企收到漏洞报告后 2 小时内完成修复
- 攻击前提：车辆已经绑定车企车联网、远程控制功能处于开启状态
- 攻击方式：纯远程线上攻击，不需要物理接触车辆、不需要拿到车主手机
二、两套攻击路径对比表
| 项目 | 澳大利亚区域攻击链路 | 美国区域攻击链路 |
|---|---|---|
| 信息获取方式 | 通过公开车牌查询工具拿到 VIN 车架号，调用内部 API 拿到车主邮箱 | 路径混淆绕过防火墙，直接访问后台管理控制台 |
| 核心漏洞 | 预发布环境管理员凭据硬编码，生产环境同样可用 | Apache Felix 控制台出厂默认账号密码未修改 |
| 权限获取 | 绕过 WAF 防火墙，调用管理员 API，凭邮箱接管车主账户 | 拿到后台控制台权限，运行 Groovy 脚本控制身份服务器，修改用户账户数据 |
| 控制动作 | 生成身份令牌，通过 Android 车控 App 下发远程控车指令 | 接管车主账号，下发解锁、鸣笛、启动等控车指令 |
| 难度 | 链路相对简单 | 防护更完善，攻击链路更复杂 |
三、漏洞暴露出来的后台安全问题
- 测试环境和正式生产环境的账号凭据没有隔离，测试管理员硬编码凭证直接在生产服务器生效
- 后台管理控制台直接暴露在公网，没有内网隔离，仅靠 Web 防火墙防护，防火墙可以被路径遍历绕过
- 身份认证平台权限管控松散，拿到管理员权限后可以随意接管普通车主账户
- 车架号、车主邮箱这类敏感信息，内部 API 没有做好访问权限校验，可以被外部查询获取
四、对车主带来的实际风险
- 车辆被远程解锁，车内物品被盗，车辆有被开走风险
- 车辆无故鸣笛、闪灯，造成扰民，同时暴露车辆位置
- 攻击者可以直接启动发动机，如果车辆处于可行驶状态，风险更高
- 攻击者拿到账户权限，还可以查看车辆位置、行驶轨迹等隐私数据
五、车主自查和防护步骤
- 打开车企官方 App，确认 App 已经更新到最新版本，车企修复漏洞后会同步更新后端
- 定期修改车联网账号密码，不要使用简单密码，开启二次验证（如果平台支持）
- 不随意在陌生网站、第三方工具输入车牌、车架号、个人邮箱信息
- 不用的时候，可以在 App 里临时关闭远程启动、远程解锁权限
- 收到陌生的车辆解锁、鸣笛、启动提醒，第一时间修改账号密码，联系车企客服
六、补充说明
这是白帽安全研究，研究员提前走漏洞披露流程，没有恶意攻击普通车主，也没有对外公开车企名称和详细攻击脚本，避免漏洞被黑产滥用。这类漏洞属于车企云端后台配置问题，不是车载硬件本身的问题，修复后端之后攻击链路就失效了。
【常见问题】
问题 1：安全研究人员攻破两家车企 Android 车控应用，这套漏洞可以实现哪些远程控车操作？
回答 1：安全研究人员攻破两家车企 Android 车控应用，利用漏洞可以远程解锁车辆、鸣笛、闪烁车灯，还能直接启动发动机，全程不需要接触车辆。
问题 2：安全研究人员攻破两家车企 Android 车控应用，漏洞是什么原因造成的？
回答 2：安全研究人员攻破两家车企 Android 车控应用，根源是车企使用的 ForgeRock 身份平台配置出错，测试管理员凭据硬编码、后台控制台保留默认账号密码，搭配路径遍历漏洞绕过防火墙，攻击者拿到管理员权限接管车主账户。
问题 3：安全研究人员攻破两家车企 Android 车控应用，漏洞多久完成修复？
回答 3：安全研究人员攻破两家车企 Android 车控应用，车企收到研究员的漏洞报告之后，只用 2 小时就完成了该漏洞的修复。
问题 4：安全研究人员攻破两家车企 Android 车控应用，普通车主现在需要做什么防护？
回答 4：安全研究人员攻破两家车企 Android 车控应用，车主可以把车控 App 更新到最新版、定期修改账号密码，有条件开启二次验证，不用远程功能时临时关闭远程解锁、远程启动权限。
【参考资料】
[2026-11-10]（研究人员攻破两家车企 Android 应用 可远程解锁车辆并鸣笛）CNMO 科技
[2026-11-09]（Researchers pwn automakers’ Android apps to remotely unlock cars, honk horns）CyberSwissGuards
[2026-11-10]（研究人员利用车企车控 App 漏洞，远程控制联网车辆）新浪科技
[2026-11-09]（Researchers Take Over Connected Cars in Australia and the US by Exploiting Weak Logins in Automaker Apps）CISO AI
【免责声明】
本文内容来自安全研究员公开研究报告、外媒科技资讯，属于白帽安全漏洞披露事件；涉事车企名称未公开，该漏洞已经完成修复，不代表市面上所有品牌车联网 App 存在同类漏洞；车联网安全受云端、App、账号密码多重因素影响，本文不构成车辆使用安全担保，也不提供任何攻击相关技术指导。