Deux constructeurs ont corrigé des failles ForgeRock permettant le contrôle à distance des véhicules
Les chercheurs Shubham Shah et Sam Curry ont détaillé des contournements d'authentification donnant accès au déverrouillage et au démarrage à distance, corrigés en 2026.
Les chercheurs en sécurité Shubham Shah et Sam Curry ont publié une analyse de plusieurs vulnérabilités affectant la plateforme d'authentification ForgeRock, utilisée par deux constructeurs automobiles non nommés, selon digitaltoday.co.kr. Leurs travaux décrivent des chemins d'accès administrateur laissés ouverts par des erreurs de configuration et des systèmes conservant des mots de passe administrateur par défaut.
En contournant l'authentification normale, les chercheurs ont obtenu les mêmes privilèges de contrôle à distance que les propriétaires de véhicules. Avec l'accord de ces derniers, ils ont testé le déverrouillage des portes et le démarrage ou l'arrêt du moteur, et ont pu consulter la localisation, le kilométrage et le niveau de carburant.
En Australie, un scénario d'attaque identifiait le compte d'un propriétaire en recherchant le numéro VIN à partir de la plaque d'immatriculation, puis permettait de changer le mot de passe du compte et d'envoyer des commandes à distance. Les systèmes d'authentification concernés étaient liés à des véhicules aux États-Unis, au Canada, en Australie et dans d'autres régions.
Les constructeurs n'ont pas été identifiés. Des spéculations en ligne autour de Toyota et Lexus, fondées sur la vidéo de démonstration, n'ont pas été confirmées.
Signalement et correction en amont
Les chercheurs avaient signalé les vulnérabilités début 2026 ; les deux entreprises les ont corrigées et renouvelé les identifiants environ deux heures après le signalement. Les résultats de la recherche ont été publiés le 7 novembre 2026.
En bref
Quelles vulnérabilités ont été découvertes dans ForgeRock ?
Des erreurs de configuration ouvrant des accès administrateur et des mots de passe administrateur par défaut conservés sur certains systèmes, permettant de contourner l'authentification normale.
Les constructeurs concernés ont-ils été identifiés ?
Non. Les spéculations en ligne sur Toyota et Lexus, à partir de la vidéo de démonstration, n'ont pas été confirmées.
Les failles ont-elles été corrigées ?
Oui. Signalées début 2026, elles ont été corrigées par les deux entreprises et les identifiants renouvelés environ deux heures après le signalement.