Tesla ถูกแฮก, มีการสาธิต Zero-day 37 รายการในงาน Pwn2Own Automotive 2026

นักวิจัยด้านความปลอดภัยสามารถแฮกระบบ Infotainment ของ Tesla และได้รับเงินรางวัล 516,500 ดอลลาร์สหรัฐฯ หลังจากการใช้ประโยชน์จากช่องโหว่ Zero-day จำนวน 37 รายการ ในวันแรกของการแข่งขัน Pwn2Own Automotive 2026

Severity: สูง

System Impact:

• Tesla Infotainment System
• Sony XAV-9500ES digital media receiver
• Alpitronic HYC50 Charging Station
• Autel charger
• Kenwood DNR1007XR navigation receiver
• Phoenix Contact CHARX SEC-3150 charging controller
• ChargePoint Home Flex
• Autel MaxiCharger
• Grizzl-E Smart 40A vehicle charging station
• In-vehicle infotainment (IVI) systems
• Electric vehicle (EV) chargers
• Automotive Grade Linux

Technical Attack Steps:

1. ทีม Synacktiv ใช้ช่องโหว่ Information Leak ร่วมกับ Out-of-Bounds Write ผ่านการโจมตีแบบ USB เพื่อเข้าถึงสิทธิ์ Root บนระบบ Tesla Infotainment System
2. ทีม Synacktiv ใช้ช่องโหว่ 3 รายการเพื่อรันโค้ดระดับ Root บน Sony XAV-9500ES digital media receiver
3. ทีม PetoWorks ใช้ช่องโหว่ Zero-day 3 รายการเพื่อเข้าถึงสิทธิ์ Root บน Phoenix Contact CHARX SEC-3150 charging controller
4. ทีมอื่นๆ เช่น Fuzzware.io และ Team DDOS ประสบความสำเร็จในการแฮกสถานีชาร์จหลายยี่ห้อและรุ่น โดยใช้ประโยชน์จากช่องโหว่ Zero-day เพื่อควบคุมระบบ

Recommendations:

Short Term:

• ติดตามประกาศด้านความปลอดภัยจากผู้ผลิตยานยนต์และสถานีชาร์จอย่างใกล้ชิด
• ติดตั้งแพตช์และอัปเดตเฟิร์มแวร์ทันทีที่ผู้ผลิตออกเพื่อแก้ไขช่องโหว่
• จำกัดการเข้าถึงทางกายภาพต่อพอร์ต USB และระบบ Infotainment ของยานยนต์ รวมถึงสถานีชาร์จ
• ตรวจสอบระบบยานยนต์และสถานีชาร์จเพื่อหาสัญญาณของกิจกรรมที่ผิดปกติ

Long Term:

• จัดทำและปฏิบัติตามแผนการจัดการแพตช์ที่แข็งแกร่งสำหรับระบบยานยนต์และโครงสร้างพื้นฐานการชาร์จ
• ลงทุนในการตรวจสอบความปลอดภัยและการทดสอบการเจาะระบบ (Penetration Testing) อย่างสม่ำเสมอสำหรับยานยนต์และระบบที่เกี่ยวข้อง
• สำหรับผู้ผลิต: ทบทวนและปรับปรุงแนวทางการพัฒนาซอฟต์แวร์ให้มีความปลอดภัย (Secure Software Development Life Cycle)
• พิจารณาการแบ่งส่วนเครือข่าย (Network Segmentation) และการเสริมความแข็งแกร่งของระบบ (System Hardening) สำหรับระบบยานยนต์เพื่อลดความเสี่ยง

Source: https://www.bleepingcomputer.com/news/security/tesla-hacked-37-zero-days-demoed-at-pwn2own-automotive-2026/