我先联网核实这条汽车 App 安全研究的原始披露，确认涉及哪两家车企、漏洞类别与厂商回应。
关键事实已确认：研究者在 ForgeRock 身份平台上发现默认管理员口令等问题，车辆控制能力已被验证，漏洞也已修补。我再看原始研究者的披露与厂商响应。
这条消息有一个容易被写错的点：英文原报道说 “同一家车企的两个品牌”，中文稿写成 “两家车企”。我再核对一下原始披露。
原始披露已定位到两位研究者 11 月 7 日的技术博客。我再读一遍一手材料，确认测试时间、影响范围和修复时间线。
两名安全研究者 Shubham Shah（Assetnote 联合创始人）与 Sam Curry 披露了一条完整的车控攻击链路：两家匿名车企的 Android 车控 App 和它们共用的 ForgeRock 身份平台存在配置与凭据泄露问题，攻击者可以从一个车牌号出发，最终接管车主账号，并调用车辆指令接口，实现远程解锁、启动或熄火、闪灯、鸣笛与定位。测试只在美国账户和车辆上完整跑通，且车辆指令只在研究者本人拥有或获授权的车上执行；上报后，两家车企约 2 小时内完成修复并轮换受影响凭据，但没有提供漏洞赏金或致谢。两位研究者于 2026 年 11 月 7 日发布技术博客，中文媒体 11 月 10 日跟进。需要先说清楚：被攻破的实质是 “账号与身份平台”，并非车机本身；漏洞现已修复，并非当前可被利用的开放风险。
iTnews一、先把事件的关键事实列清楚
| 项目 | 信息 |
|---|---|
| 研究者 | Shubham Shah（悉尼，Assetnote 联合创始人）、Sam Curry（美国） |
| 披露时间 | 2026 年 11 月 7 日（两人各自发布博客） |
| 涉及对象 | 两家车企，研究者应厂商要求匿名 |
| 涉及系统 | Android 车控 App、ForgeRock Access Management / OpenIDM 身份平台 |
| 影响地区 | 系统服务多个地区；完整链路只在美国账户与车辆上验证，澳大利亚链路更易打通 |
| 可实现操作 | 解锁 / 上锁、启动 / 熄火、鸣笛、双闪、寻车，读取位置、里程、电量 / 油量、胎压、门窗状态等 |
| 修复情况 | 上报后约 2 小时内修复，并轮换受影响凭据 |
| 赏金 | 无漏洞赏金、无致谢 |
iTnews二、攻击链为什么能打通：四个环节都存在问题
这部分只讲成因，不讲可复现的操作细节。真正值得记住的是，每个环节都对应一个本可以避免的工程疏忽。
| 环节 | 出了什么问题 | 本该怎么做 |
|---|---|---|
| 客户端 | 车控 App 依赖的第三方 JS 包里，打包了本应只用于预发布环境的管理员凭据，所有下载 App 的人都能拿到 | 任何环境凭据都不应进入客户端；用密钥管理服务下发，定期轮换 |
| 环境隔离 | 预发布环境的凭据在生产环境依然有效 | 预发布与生产使用独立凭据体系，生产侧拒绝预发布密钥 |
| 管理面 | 身份平台自带的管理控制台仍然保留出厂默认口令，而厂商加固指南本来就要求上线前移除或保护它 | 上线前移除控制台，或置于内网 + 强认证之后 |
| 边缘防护 | 防火墙与后端对同一路径的解析规则不一致，管理接口可被绕过 | WAF 与后端统一路径规范化；管理路径默认拒绝 |
| 认证 | 旧式 “密码授权” 流程可以绕过多因素认证，拿到 App 令牌 | 禁用或严格限制该授权模式；MFA 不可被旁路 |
| 权限 | 拿到身份服务器权限后，可重置任意账户凭据并冒充正常登录 | 最小权限、管理操作二次审批、异常管理调用实时告警 |
用一句话解释这条链：车控 App 的登录令牌就是车钥匙。攻击者不需要碰车，只要能在身份平台上 “变成” 车主，App 里所有远程指令都会照常执行。
shubs三、能做什么、能看到什么
| 类别 | 具体内容 |
|---|---|
| 车辆控制 | 解锁 / 上锁、远程启动 / 熄火、鸣笛、闪双闪、定位车辆 |
| 车辆数据 | 位置与遥测、里程、电量或燃油续航、胎压、门窗状态、车辆健康、告警、订阅状态 |
| 账户数据 | 姓名、手机号、邮箱、密码与 PIN 的哈希值、推送令牌、账户与车辆绑定信息 |
这里有两个边界必须强调：
- 研究者只对自己拥有或获得授权的车辆执行了解锁、启动等指令，没有对陌生车辆做实际控制；
- 完整链路只在美国账户与车辆上验证，其他地区是 “系统可达”，不等于逐台实测。
iTnews四、为什么 “账号体系” 比 “车机” 更值得担心
- 一次接管，覆盖一整个车库。车控 App 的权限按账号发放，账号下的每台车、每个附加用户都会一起暴露。
- 单点身份平台承载多品牌。两家车企（或同一集团的两个品牌）共用一套身份系统，配置问题会被放大到所有品牌、所有地区。
- 供应链层层叠加。身份平台、WAF、第三方 JS、SDK 任何一层出错，都会把管理面暴露到公网。
- MFA 形同虚设最致命。车主以为开了双重验证就安全，但如果旧式授权流程能绕过它，MFA 只是一道摆设。
Sam Curry五、修复很快，但激励机制的缺口更值得注意
两家车企在收到报告后约两小时完成修复并轮换凭据，响应速度在车企里算很快。但研究者没有拿到任何漏洞赏金或公开致谢。对比他们过去的记录 —— 本田 / 讴歌、日产 / 英菲尼迪、现代 / 捷尼赛思、福特、保时捷、起亚、斯巴鲁等车控系统都曾被他们找出问题 —— 可以看出一个行业现实：车控安全的研究供给，长期靠研究者自觉。厂商修得快是好事，但没有赏金、没有致谢，下一批研究者未必还愿意花几个月做同样的工作。
Sam Curry六、车主和车企各该做什么
车主侧：
- 把车控 App 更新到最新版本，别用旧包；
- 打开多因素认证，定期检查账号的登录设备与 “附加用户”；
- 不要把账号密码交给第三方代客泊车、代驾或 “刷隐藏功能” 的服务；
- 若收到非本人触发的车辆告警、定位或推送变更，及时联系厂商客服核查。
车企侧：
- 客户端里不放任何环境凭据，包括 “只用于测试” 的；
- 预发布与生产凭据隔离，生产拒绝预发布密钥；
- 身份平台的管理控制台默认不暴露公网，上线前按厂商加固指南移除或加保护；
- WAF 与后端做统一路径规范化，管理路径默认拒绝，而不是靠黑名单；
- 禁用或严格限制可绕过 MFA 的旧式授权流程；
- 管理面操作做最小权限 + 二次审批 + 实时告警；
- 建立漏洞赏金与致谢机制，让披露形成正循环。
shubs七、看这条消息要留意的五个口径
- “两家车企” 还是 “一家车企的两个品牌”：两人合写的博客标题写 “Two Automakers”，Shubham 的单篇则称 “一家车企的两个品牌”；涉事方匿名，公开信息无法确认是两家独立公司还是一个集团的两个品牌。
- 受影响地区不统一：英文报道多写澳大利亚与美国，研究者博客提到系统服务多个地区、美国 / 加拿大 / 欧洲防护更强；别简化成 “全球车辆都能被解锁”。
- “攻破” 不等于 “车机被黑”：这是账号与身份平台被接管，不是 CAN 总线、钥匙信号或车机固件被破解。
- 漏洞已修复：修复 + 凭据轮换在上报后约 2 小时完成，现在不属于 “可动手” 的开放漏洞；讨论应停在成因与防御。
- 时间不是 “刚刚”：技术博客发布于 11 月 7 日，中文媒体 11 月 10 日跟进；看到 “刚刚” 字样时，先对一下原始日期。
今日头条这条事件真正留下的教训，不是 “某家车企又出事了”，而是智能汽车的安全边界已经从车端扩到了账号端。车主以为自己在用一把钥匙，实际上那把钥匙是一串登录令牌；车企以为自己在保护一台车，实际上要先保护好那套管着所有账号的身份平台。
【相关 FAQ】
问题 1：这次被攻破的车企 Android 应用，具体能做到什么程度？
回答 1：在获得授权的测试车辆上，研究者通过被攻破的车企 Android 应用链路实现了远程解锁、启动与熄火、鸣笛、闪灯和定位，还能读取位置、胎压、门窗等车况数据；对陌生车辆没有做实际控制。
问题 2：漏洞的根因是什么，普通车主现在需要担心吗？
回答 2：根因是车企 Android 应用把预发布环境的管理员凭据打进客户端、生产环境仍接受这套凭据，叠加身份平台管理控制台默认口令和 MFA 可被绕过；漏洞已在上报后约 2 小时修复并轮换凭据，车主更新 App、开启 MFA 即可，不必恐慌。
问题 3：为什么一个车牌号就能关联到车主账号？
回答 3：在部分地区，车牌可公开查到车辆识别码，车辆识别码再与订阅账户关联，这是公开信息链；真正的问题不在车牌，而在于管理接口把 “查账户” 和 “改账户” 的权限放得太宽，才让信息链变成控制链。
问题 4：车企应该怎么防止类似的 “远程解锁、鸣笛” 风险？
回答 4：车企应确保 Android 应用不含任何环境凭据、预发布与生产凭据隔离、身份平台管理控制台不暴露公网、WAF 与后端统一路径解析、禁用可绕过 MFA 的旧式授权，并为管理操作加上最小权限与实时告警。
【参考资料】
[2026-11-10]（研究人员攻破两家车企 Android 应用 可远程解锁车辆并鸣笛）CNMO 科技
[2026-11-10]（Admin creds left in carmaker app opened doors to vehicles）iTnews
[2026-11-09]（Default Admin Password Exposes Two Automakers: Car Unlock & Engine Start via ForgeRock Misconfiguration）Aviatrix Threat Research Center
[2026-11-07]（Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access）Sam Curry 博客
[2026-11-07]（unlocking any car from X brand in most of the world）Shubham Shah 博客
【免责声明】
本文基于两位研究者的公开技术博客、iTnews 与 CNMO 等公开报道整理，仅作信息安全资讯与防御参考，不构成任何攻击、测试或投资建议。文中刻意省略了可复现的操作细节与具体凭据、接口信息；涉事车企已按研究者要求匿名，且漏洞在上报后约两小时即修复并轮换凭据，请勿尝试对任何真实车辆或系统进行未授权测试。车辆远程控制功能受当地法规与厂商条款约束，未经授权的访问可能承担法律责任。