باحثان: ثغرات في ForgeRock أتاحت صلاحيات تحكم كصلاحيات مالكي السيارات
باحثان أمنيان كشفا عن ثغرات في منصة المصادقة ForgeRock استُخدمت في سيارات بأسواق عدة، قبل أن تُصلحها الشركتان المصنّعتان مطلع 2026.
نشر الباحثان الأمنيان Shubham Shah وSam Curry نتائج بحثهما في 7 نوفمبر 2026، وكشفا فيه عن ثغرات متعددة في منصة المصادقة ForgeRock استخدمتها شركتان مصنّعتان للسيارات، بحسب digitaltoday.co.kr.
وبيّن البحث أن إعدادات خاطئة في المنصة فتحت مسارات للوصول إلى صلاحيات المسؤول، كما احتفظت بعض الأنظمة بكلمات مرور افتراضية للمسؤول. وتمكّن الباحثان من تجاوز المصادقة المعتادة والحصول على صلاحيات تحكم عن بُعد مطابقة لتلك المتاحة لمالكي المركبات، ثم اختبرا فتح الأبواب وتشغيل المحرك وإيقافه على سيارات بموافقة أصحابها، وتمكّنا كذلك من عرض بيانات الموقع والمسافة المقطوعة ومستوى الوقود.
مسار هجوم في أستراليا
وفي أستراليا رصد الباحثان مسار هجوم يتيح التعرف على حساب مالك السيارة عبر البحث عن رقم الهوية VIN انطلاقاً من لوحة الترخيص، ثم تغيير كلمة مرور الحساب وإرسال أوامر تحكم عن بُعد.
وارتبطت أنظمة المصادقة المتأثرة بمركبات في الولايات المتحدة وكندا وأستراليا ومناطق أخرى. ولم يُذكر اسم الشركتين المصنّعتين، فيما ظلّت التكهنات المتداولة في المجتمعات الرقمية بأن السيارات في مقطع العرض التوضيحي تعود إلى Toyota وLexus غير مؤكدة.
وكان الباحثان قد أبلغا الشركتين بالثغرات في مطلع 2026، فأصلحتاها وحدّثتا بيانات الاعتماد بعد نحو ساعتين من الإبلاغ.
أسئلة سريعة
هل جرى إصلاح الثغرات؟
نعم، أبلغ الباحثان الشركتين في مطلع 2026، فأصلحتا الثغرات وحدّثتا بيانات الاعتماد بعد نحو ساعتين من الإبلاغ.
ما الذي تمكّن الباحثان من الوصول إليه؟
حصول صلاحيات تحكم عن بُعد مطابقة لصلاحيات المالك، بما يشمل فتح الأبواب وتشغيل المحرك وإيقافه، وعرض الموقع والمسافة المقطوعة ومستوى الوقود.
هل تأكدت هوية الشركتين المصنّعتين؟
لا، لم تُذكر أسماؤهما في البحث، والتكهنات بأن السيارات تعود إلى Toyota وLexus مستندة إلى مقطع العرض التوضيحي وليست مؤكدة.