PerfektBlue Açığı, Mercedes, Volkswagen ve Skoda Araçlarını Tehlikeye Atıyor

BlueSDK adlı Bluetooth yığınına ait dört güvenlik açığının milyonlarca aracı etkileyebileceği ortaya çıktı. PerfektBlue olarak adlandırılan bu açıklar, Mercedes-Benz, Volkswagen ve Skoda gibi büyük üreticilere ait araçlarda uzaktan kod çalıştırmaya olanak tanıyabilir. Açıklar ilk olarak 2024’ün haziran ayında tespit edildi ve eylül ayında yamanmasına rağmen birçok üretici güncellemeleri kullanıcılarına henüz sunmadı.

Araçlarda Kullanılan BlueSDK Yazılımı Kritik Zafiyetler İçeriyor

PerfektBlue saldırısı, OpenSynergy tarafından geliştirilen BlueSDK yazılımındaki dört farklı güvenlik zafiyetinin bir araya getirilmesiyle oluşturuluyor. Alman siber güvenlik firması PCA Cyber Security tarafından keşfedilen açıklar, Bluetooth üzerinden yalnızca 1 tıklama ile tetiklenebilecek kadar düşük etkileşim gerektiriyor. Araştırmacılar, bu güvenlik açıklarının yalnızca otomotiv sektörünü değil, yazılımı kullanan diğer sektörleri de etkileyebileceğini vurguluyor.

Güvenlik uzmanları, saldırının hedefi olan araçlarda Bluetooth bağlantısıyla medya sistemlerine sızarak sistem üzerinde yetki artırımı yapılabildiğini belirtiyor. Araç içi eğlence sistemi üzerinden elde edilen yetkiyle saldırganlar, GPS konumlarını takip edebiliyor, araç içi konuşmaları dinleyebiliyor ve telefon rehberine erişebiliyor. Daha da önemlisi, saldırganlar bu erişimi kullanarak diğer araç bileşenlerine geçiş yapabiliyor.

OpenSynergy, yazılım güncellemelerini 2024’ün eylül ayında üreticilere iletti. Ancak birçok üretici güncellemeleri hâlâ dağıtmış değil. PCA Cyber Security, Volkswagen, Mercedes-Benz ve Skoda’yı bilgilendirdiklerini ancak yanıt alamadıklarını açıkladı. Sadece Volkswagen, bu açıkları yakın zamanda öğrendiğini ve gerekli incelemelere başladığını duyurdu.

Volkswagen yetkilileri, saldırının gerçekleşmesi için aracın çalışır hâlde olması, eğlence sisteminin eşleştirme modunda bulunması ve kullanıcının Bluetooth bağlantısını manuel olarak onaylaması gerektiğini açıkladı. Ancak bazı üreticiler, eşleştirme sırasında kullanıcı onayı gerektirmeyen ayarlar kullanıyor. Bu da bazı senaryolarda saldırıyı kolaylaştırabiliyor.

PCA Cyber Security, PerfektBlue açıklarını yakın zamanda dördüncü bir otomotiv üreticisinde daha doğruladıklarını ancak bu firmanın adı için kamuya açıklama yapılmayacağını belirtti. Araştırma ekibi, kasım 2025’te düzenlenecek bir konferansta açıkların tüm teknik detaylarını paylaşmayı planlıyor.