Zero Motorcyclesの電動バイクとYadeaの電動スクーターは脆弱性の影響を受けており、悪用された場合、物理的なセキュリティと安全性に深刻な影響をもたらす可能性があります。
CISAは最近これらの脆弱性に関する個別のアドバイザリーを公開しており、SecurityWeekは報告された欠陥についてさらに詳しく知るために、脆弱性を報告した研究者に連絡を取っています。
Zero Motorcyclesの脆弱性
Bureau Veritas Cybersecurityの研究者は、米国のZero Motorcyclesの電動バイクがBluetooth経由で車両に接続できる脆弱性の影響を受けていることを発見しました。CVE-2026-1354として追跡されるセキュリティホールは、ファームウェアバージョン44以前に影響します。
CISAによると、攻撃の複雑さが高いため「中程度の重大度」に分類されたこの脆弱性により、攻撃者はすべてのBluetooth機能への無許可アクセスを獲得し、バイクに悪意のあるファームウェアをアップロードすることも可能です。
Bureau Veritasのセキュリティエンジニアリング部長であるDinesh Shettyは、SecurityWeekに対して、攻撃の実行は簡単ではないかもしれませんが、動機が強く十分なリソースを持つ攻撃者であればそれを実現できると述べました。専門家は、攻撃者が目的のバイクに物理的に接近する必要があり、ペアリングフローを理解し、悪意のあるファームウェアのアップロード完了まで近距離にいなければならないことを指摘しました。
Shettyは次のように説明しました、
「Zero motorcyclesにはBluetoothペアリングモードがあり、Modeボタンを約5秒間押すか、バイクがまだペアリングされたことがない場合に起動します。そのウィンドウ中、キー交換は実際には誰が接続しているかを検証しません。Bluetooth範囲内にいる攻撃者は自分のデバイスをバイクにペアリングでき、バイクはそれを正当な接続として受け入れます。ペアリング後、あなたは信頼できるデバイスのように見え、ファームウェア更新チャネルを使用して修正されたファームウェアイメージをバイクにプッシュできます。」
攻撃者が悪意のあるファームウェアをアップロードすると、深刻な安全リスクをもたらすアクションを実行できます。
「バイクのメインマイクロコントローラーはトルク出力、回生制動、モーターに電力を供給するコンタクター、バッテリー管理を含むセーフティクリティカル機能を制御しています。そこに独自のファームウェアを入れることができれば、これらすべてを操作できます。現実世界への影響を考えると、高速道路速度で走行している車両でどのような事態が起こるかを想像してください。スロットルの応答を変更したり、ブレーキの動作に干渉したり、バッテリーの熱保護機構を改ざんすることもできます。ボードはGPSとテレメトリー用のセルラーモデムにもアクセスでき、理論的にはリモートコマンドアンドコントロール機能に転用できます。ダッシュボードの色を変えることについて話しているのではなく、車両の物理的な動作を支配するファームウェアについて話しているのです。」
CISAは、ベンダーが5月にファームウェアパッチをリリースする予定であると述べており、その間、同社はユーザーに安全な場所でバイクをスマートフォンにペアリングし、他の人がペアリングを試行できないようにすることをアドバイスしています。
Bureau Veritas Cybersecurityは、オープンソースフレームワーク、ヘルスケアおよび金融プロトコル、パスワードマネージャー、さらにはスコアボードなどの独自システムを含む、様々なタイプの製品の詳細な研究を定期的に実施していると述べています。
Zero MotorcyclesはSecurityWeekのコメント要請に応じていません。
Yadea T5スクーター脆弱性
CISAは最近、中国企業Yadeaが製造したパワード2輪車のT5スクーターに影響する別の潜在的に深刻な脆弱性に関するアドバイザリーを公開しました。
CVE-2025-70994として追跡され、「高重大度」と評価されるセキュリティホールは、攻撃者が正当なキーフォブの送信をインターセプトできる認証の脆弱性です。
脆弱性を発見した研究者のAshen Chathurangaからのアドバイザリーによれば、ターゲットスクーター付近にいる攻撃者は、所有者が発行した機密でないコマンド（例えばロックコマンド）をインターセプトできます。
被害者のコマンドデータを使用して、攻撃者は異なるコマンド（ロック解除やスタートコマンドを含む）を「数学的に生成」できるため、攻撃者は電動スクーターを盗むことが可能になります。
攻撃の実行にはそれほど時間がかかりません。ChathurangaはSecurityWeekに対して、攻撃者は被害者からコマンドをキャプチャした後、即座に新しいコマンドを発行してリプレイ攻撃を実行できると述べました。
CISAと研究者によれば、Yadeaはまだパッチをリリースしていません。ベンダーはSecurityWeekのコメント要請に応じていません。
