Dazu müsste der Angriff ja auf die Server-Infrastruktur erfolgen und nicht auf die Fahrzeuge. Wäre also völlig unabhängig von Patches der Autos. Und wenn VW nicht ganz blöde ist - und das traue ich nichtmal Cariad zu - wird ein böswilliges Update, selbst wenn man es auf die Server bekommt - nicht ausgeführt, wenn nicht zumindest die digitale Signatur passt, geschweige denn mögliche weitere Kontrollmechanismen.
Also ja, die theoretische Möglichkeit besteht. Aber dieser Angriffsvektor ist erstmal unabhängig vom Softwarestand der Fahrzeuge (außer eine Version ist so buggy, dass sie ungeprüft Updates entgegennimmt und ausführt)