В начале 2026 года известный специалист по безопасности автомобильных IT-систем Сэм Карри и его коллега Шубам Ша обнаружили уязвимость в веб-приложении двух крупных автопроизводителей, которая в некоторых случаях позволяла полностью перехватить контроль над автомобилем, в том числе получать информацию о геолокации, открывать-закрывать двери и запускать двигатель. В отличие от предыдущих похожих исследований, в этот раз Сэм Карри не стал раскрывать имена автопроизводителей по их просьбе.

Исследование инфраструктуры автопроизводителей началось с анализа работы соответствующих мобильных приложений, который в итоге привел к обнаружению проблем с конфигурацией решения ForgeRock для управления доступом. Изучая элементы этого решения и сопутствующие сервисы, исследователи смогли обойти ряд ограничений и в том числе обнаружили возможность доступа к одному из компонентов по дефолтному паролю admin:admin.

Несмотря на то что доступ к «опасным» командам извне корректно блокировался, Сэму Карри удалось обойти и это ограничение. Конечный результат довольно сложной цепочки атаки: перехват контроля над учетной записью пользователя с полным доступом к функциям автомобиля. Ассортимент фич зависит от типа цифровой подписки и возраста авто, но в худшем случае можно было разблокировать двери автомобиля, завести двигатель и уехать.

В отличие от предыдущих исследований Сэма Карри (в которых были найдены серьезные дыры в инфраструктуре большинства крупнейших автопроизводителей), в этом случае не требовалось знать даже VIN-номер автомобиля. Обнаруженная цепочка уязвимостей открывала доступ к интерфейсу администратора и, соответственно, позволяла управлять всеми автомобилями, использующими данную систему идентификации. Информация об уязвимостях была передана автопроизводителям в начале 2026 года, и проблема была оперативно закрыта в день уведомления.

Что еще произошло

Прошедшая неделя выдалась богатой на сообщения о серьезных уязвимостях в популярном ПО и сервисах, что, похоже, становится нормой. В наборе утилит OpenSSH была обнаружена многолетняя проблема (статья на Ars Technica, обсуждение на Хабре), позволяющая залогиниться по протоколу SSH без пароля. Из-за особенностей уязвимости она затрагивает ограниченное число дистрибутивов, включая, например, Alpine Linux.

В ноябрьском наборе патчей для ОС Android закрыта критическая уязвимость CVE-2026-58868, в худшем случае приводящая к выполнению произвольного кода, причем действия от пользователя не требуются. Затронуты релизы Android версий 14–17. Еще одна критическая уязвимость закрыта в браузере Google Chrome. Пропатчен менеджер пакетов APT в Linux-дистрибутиве Debian; в нем обнаружена проблема, открывающая возможность атаки типа Man-in-the-Middle. Десятибалльная уязвимость найдена в специализированном ПО Node-RED, используемом в промышленных IT-системах.

Удивительная уязвимость прошлой недели — это проблема в графическом редакторе Microsoft Paint, позволяющая выполнить на компьютере жертвы произвольный код, в том числе удаленно.

В новых публикациях исследователи «Лаборатории Касперского» изучают деятельность новой киберпреступной группировки Arra Ghouls, анализируют бесфайловую атаку на Microsoft SharePoint и на двух примерах разбирают вопрос безопасности систем виртуализации.

Производитель устройств NAS, компания QNAP, предупреждает об атаках с использованием недавно обнаруженной уязвимости Plex2Shell. Компания Zyxel тем временем закрывает активно эксплуатируемую уязвимость в сетевых коммутаторах серии GS1900.

Криптобиржа Binance опубликовала детали серьезного взлома собственной инфраструктуры. Атаке предшествовало два киберинцидента: в одном сотрудник компании загрузил вредоносное ПО вместо популярного пакета Homebrew. В другом случае инженер Binance был приглашен на фейковое собеседование, в ходе которого на его компьютере также удалось запустить вредоносное программное обеспечение. Тщательно подготовленная атака затем позволила в кратчайшие сроки обеспечить вывод крупных сумм в криптовалюте.

Уязвимость в WordPress позволяет взломать веб-сервер во время короткого окна обновления на новую версию.

Компания Google успешно нарушила работу крупного ботнета, состоящего из миллионов зараженных телеприставок.

Две активно эксплуатируемые уязвимости закрыты в корпоративном сервисе Ivanti Connect Secure.