Tata Motorsは、自社のiRA 2.0およびiRA.evコネクテッドカーアプリケーションにおける4つの高深刻度セキュリティ脆弱性を正常に修正しました。これらの欠陥は、インドのComputer Emergency Response Team（CERT-In）が2026年11月に発行した脆弱性通知（CIVN-2026-0537）において特定されました。これらの脆弱性はアプリの特定の旧バージョンに影響を与えており、認証トークンやバックエンドサービスへのアクセスといった機密情報の漏洩を招く可能性がありました。これに対し、同社はプラットフォームを保護するため、すべてのアクティブユーザーに対して強制的なソフトウェアアップデートを実施しました。
この画像は、セキュリティ上の欠陥の影響を受けたTata Motorsの車両およびコネクテッドカーのエコシステムに関する視覚的な参照を提供します。
CERT-Inによって特定された技術的問題は、モバイルセキュリティのいくつかのカテゴリーにわたっていました。一つの欠陥（CVE-2026-121144）はハードコードされた資格情報に関するもので、サービスアカウントのキーや認証トークンがアプリパッケージ内に直接埋め込まれており、理論上、リモートの攻撃者がバックエンドサービスにアクセスできる状態でした。その他の問題には、アプリのWebViewコンポーネントを通じて読み込まれるURLに対する脆弱なチェック（CVE-2026-121145）、認証トークンが開発およびデバッグログに書き込まれる問題（CVE-2026-121146）、およびSSL証明書ピンニングの不適切な実装（CVE-2026-121147）が含まれていました。これらは、同じネットワーク上にいる攻撃者がアプリとサーバー間の通信を傍受することを可能にする可能性がありました。
Tata Motorsは、修正済みのバージョンであるiRA 2.0 バージョン26.8.2およびiRA.ev バージョン26.9.1を、それぞれ2026年8月と9月にリリースしました。同社は、内部評価の結果、欠陥が存在していた期間中に顧客の資格情報、個人情報、または車両関連データがアクセスされたり侵害されたりした証拠は見つからなかったと述べています。これらの脆弱性の存在はリスクを伴うものでしたが、同社は強制的なオーバーザエア（OTA）アップデートがすべてのアクティブユーザーに届き、脅威が効果的に軽減されたと主張しています。ユーザーは、セキュリティを維持するために最新バージョンを実行していることを確認することが推奨されています。