Vulnerabilități „nivel divin” în codul public al guvernului britanic: peste 100 de puncte slabe descoperite
Un cercetător în securitate a identificat peste 100 de vulnerabilități grave în codul sursă publicat de instituții ale guvernului Regatului Unit, expunând date sensibile și acces extins la sisteme interne. Constatările, relatate pe 10 noiembrie 2026 de WIRED, readuc în prim-plan dezbaterea despre echilibrul dintre transparență, reutilizarea codului și igiena cibernetică de bază. Analiza WIRED
O radiografie îngrijorătoare a codului public guvernamental
Potrivit relatării, cercetătorul Chris Nesbitt-Smith, de la firma de securitate ControlPlane, a examinat cod deschis public al mai multor departamente și autorități publice și a găsit „peste 100 de vulnerabilități serioase”. Practica publicării codului dezvoltat din bani publici este adoptată în Regatul Unit de aproximativ un deceniu, pentru a încuraja transparența și reutilizarea. În ciuda beneficiilor, această deschidere a scos la iveală slăbiciuni generate de o mentenanță insuficientă a ecosistemului tehnologic.
Investigația a acoperit 349 de codebase-uri din 33 de organizații publice, iar vulnerabilități au fost identificate în aproximativ două treimi dintre acestea. În unele cazuri, punctele slabe puteau facilita accesul la informații personale sau la zone administrative, cu posibilitatea modificării configurațiilor de sistem.
Asistență AI pe hardware obișnuit: descoperiri fără tehnici sofisticate
Nesbitt-Smith a folosit modele AI Claude Opus și Sonnet pe un laptop obișnuit pentru a accelera analiza codului. El a subliniat că multe dintre probleme ar fi putut fi prevenite sau depistate printr-un control IT de rutină, afirmând că nu este vorba despre tehnici avansate de atac, ci despre „chestiuni banale” de igienă cibernetică. Concluzia sa implică un risc sistemic: atunci când procesele de bază nu sunt respectate, chiar și unelte ușor accesibile pot scoate la suprafață erori cu impact major.
Cazul-școală: acreditări expuse pentru Microsoft Entra ID la Planning Inspectorate
Cel mai grav incident descris privește Planning Inspectorate, agenția responsabilă de apelurile și anchetele legate de utilizarea terenurilor în Anglia. Potrivit cercetătorului, acreditări au fost publicate accidental într-un depozit de cod public de pe GitHub și nu au fost revocate prompt. Aceste date ar fi oferit un „nivel divin de acces” — adică drepturi extinse de citire și scriere — către toate site-urile SharePoint și conturile OneDrive ale angajaților, inclusiv către documente de resurse umane și biblioteci protejate care păstrează probe sub interdicție legală.
Riscurile potențiale descrise includeau atât șantajarea prin ransomware (criptarea datelor interne), cât și exfiltrarea discretă a acestora. În esență, simpla neglijență în gestionarea secretelor a amplificat exponențial suprafața de atac.
Reacția instituției: alertare rapidă, remediere în 20 de minute și fără breșă confirmată
Un purtător de cuvânt al Planning Inspectorate a declarat pentru WIRED că instrumentele de monitorizare cibernetică ale instituției au detectat imediat activitatea cercetătorului în august 2026. Organizația trata deja situația ca pe un incident cibernetic în momentul în care a fost contactată de ControlPlane, iar vulnerabilitatea a fost corectată în 20 de minute. Verificările ulterioare nu au indicat o breșă de date. Instituția a mai transmis că a revizuit și a consolidat procesele pentru a evita repetarea problemelor.
Date personale la risc în servicii ale Ministerului Educației
În multiple componente ale Ministerului Educației din Anglia, cercetătorul a semnalat vulnerabilități în: un serviciu de achiziții folosit de școli; o platformă de înscriere a profesorilor care conținea detalii personale, calificări, istoric profesional și documente de identitate; precum și registrul principal al furnizorilor de formare și ucenicie finanțați de guvern. Împreună, aceste puncte slabe sugerau că date sensibile puteau fi expuse sau accesate neautorizat dacă ar fi fost exploatate.
Portalul de date deschise al guvernului scoțian
WIRED notează și o vulnerabilitate într-un portal de date deschise al guvernului scoțian, care ar fi permis oricărui vizitator să vizualizeze informații despre conturi administrative și să modifice configurația site-ului. Organizațiile menționate au remediat problemele după notificare, potrivit relatării.
„Nu este o problemă a open source-ului, ci de gospodărire internă”
În mijlocul dezbaterii despre riscurile publicării codului, Amanda Brock, director executiv al organizației nonprofit OpenUK, a subliniat că incidentul Planning Inspectorate nu indică o problemă intrinsecă a open source-ului, ci un eșec procedural: expunerea s-a produs pentru că nu au fost urmate procese solide de lucru. Cu alte cuvinte, deschiderea codului nu scutește organizațiile de responsabilitatea de a proteja acreditările, a face curățenie în depozite și a aplica reguli stricte de rotație și expirare a cheilor de acces.
AI accelerează găsirea de vulnerabilități; apar presiuni pentru restrângerea publicării codului
Relatarea mai menționează că, pe fondul progreselor în AI, au apărut propuneri ca anumite departamente publice să înceteze publicarea deschisă a codului. Conform informațiilor citate, Serviciul Național de Sănătate (NHS) ar fi dispus în luna mai ca echipele tehnice să se îndepărteze de open source din motive de securitate, în contextul îngrijorărilor legate de ce pot face modelele AI.
Nesbitt-Smith avertizează însă că „cea mai proastă variantă” ar fi închiderea depozitelor fără rezolvarea problemelor fundamentale. Adversarii pot să fi clonat deja aceste depozite, păstrând accesul la același conținut. Mai mult, simpla închidere poate atrage și mai multă atenție asupra zonelor sensibile, fără a oferi o barieră reală în fața actorilor hotărâți.
Ce spun cifrele și ce s-a întâmplat după raportare
Dimensiunea auditului — 349 de codebase-uri în 33 de organizații — și concluzia că aproximativ două treimi conțineau vulnerabilități conturează un peisaj îngrijorător, în care lipsa de resurse și „strângerile de fonduri” duc la amânarea mentenanței și a remedierilor. În cazul Planning Inspectorate, reacția oficială indică detectare rapidă și remediere în 20 de minute, fără dovezi de sustragere a datelor, urmată de consolidarea proceselor interne. Pentru celelalte instituții menționate, problemele au fost tratate după notificare, potrivit relatării WIRED.
Semnificația pentru instituțiile publice
Tabloul general conturat de cazurile descrise sugerează că primejdia nu vine neapărat din atacuri „sofisticate”, ci din nerespectarea consecventă a proceselor de bază: eliminarea promptă a acreditărilor expuse accidental, gestionarea atentă a secretelor, verificări regulate ale configurațiilor și monitorizare continuă. Relatarea scoate în evidență faptul că astfel de deficiențe pot conduce la acces extins la platforme cheie precum Microsoft Entra ID, SharePoint sau OneDrive, cu consecințe potențial severe pentru integritatea și confidențialitatea datelor.
Transparență vs. securitate: o balanță delicată
Publicarea deschisă a codului are avantaje reale: crește încrederea, permite reutilizarea și poate atrage contribuții externe. Însă, așa cum reiese din cazurile prezentate, transparența trebuie dublată de „gospodărire internă” riguroasă. Altfel, aceeași deschidere devine o lupă care face vizibile erorile banale, acum mai ușor de detectat de oricine dispune de un laptop și de modele AI accesibile.
În concluzie, relatarea WIRED indică atât riscurile unei guvernanțe tehnice precare, cât și faptul că răspunsuri rapide și coerente — ca în cazul Planning Inspectorate — pot limita consecințele. Rămâne, însă, o întrebare strategică pentru sectorul public: cum poate fi păstrată transparența fără a sacrifica securitatea, mai ales într-o eră în care AI reduce bariera de intrare pentru descoperirea de vulnerabilități? Răspunsul, sugerat indirect de interviurile și datele prezentate, începe cu respectarea proceselor de bază și cu un inventar onest al expunerilor reale, înainte de a închide ușile către comunitatea de securitate.
Sursa foto: Imagine generată sau editată de AI
