وكالات بريطانية تواجه أكثر من 100 ثغرة أمنية في برمجياتها العامة

عثر الباحث الأمني في شركة "كنترول بلين" (ControlPlane)، كريس نيسبت-سميث، على أكثر من 100 ثغرة أمنية خطيرة في الشيفرات البرمجية المتاحة علناً للحكومة البريطانية، وفقاً لما أفادت به تقارير صحفية في 10 نوفمبر.

وشملت المراجعة 349 قاعدة شيفرات برمجية للقطاع العام عبر 33 مؤسسة، حيث ذكر نيسبت-سميث أن الثغرات ظهرت في نحو ثلثيها، بما في ذلك أنظمة مرتبطة بالصحة والتعليم والتخطيط والسلطات المحلية.

واستخدم نيسبت-سميث نموذجي الذكاء الاصطناعي "كلود أوبوس" و"سونيت" من شركة "أنثروبيك" لفحص المستودعات العامة، لكنه أوضح في تصريحات صحفية أن هذا العمل لم يتطلب أدوات متقدمة، قائلاً: "لا يرقى أي من هذا إلى مستوى التعقيد الذي تقلق بشأنه وسائل الإعلام العامة في ما يخص الهجمات السيبرانية، بل إنها جميعها أمور بديهية وبسيطة للغاية".

وكانت الحالة الأكثر خطورة تتعلق بـ "هيئة تفتيش التخطيط"، المعنية بقضايا استخدام الأراضي في إنجلترا؛ حيث أفاد نيسبت-سميث بأن بيانات تسجيل دخول عبر خدمة "مايكروسوفت إنترا آي دي" (Microsoft Entra ID)، رُفعت عن طريق الخطأ إلى منصة "غيت هاب" (GitHub) ولم تُحذف بالكامل، كانت ستتيح وصولاً واسعاً للقراءة والكتابة إلى مواقع "شير بوينت" (SharePoint) وحسابات "ون درايف" (OneDrive) الخاصة بالموظفين.

وقال نيسبت-سميث في تصريحات صحفية: "كان خيار ابتزازهم ببرمجيات الفدية، أو تشفير جميع البيانات، أو مجرد سرقتها بالكامل، متاحاً بسهولة تامة". وأضاف الباحث أن الوصول كان يمكن أن يشمل سجلات الموارد البشرية ومكتبات الأدلة المستخدمة في التحقيقات والطعون التخطيطية القانونية.

من جانبه، صرح متحدث باسم هيئة تفتيش التخطيط بأن أدوات المراقبة التابعة للهيئة رصدت نشاط نيسبت-سميث في أغسطس، وأن الهيئة كانت تتعامل بالفعل مع الأمر بوصفه حادثاً سيبرانياً عندما تواصلت معها "كنترول بلين". وأكد المتحدث أنه تم إصلاح الثغرة في غضون 20 دقيقة من تلقي البلاغ، ولم يحدث أي اختراق للبيانات.

وتتعارض هذه النتائج مع نهج سياساتي تتبناه المملكة المتحدة منذ فترة طويلة يفضل نشر الشيفرات البرمجية المطورة بأموال عامة. وقد اعتمدت الحكومة النشر المفتوح لنحو عقد من الزمن لدعم الشفافية وإعادة الاستخدام، بما في ذلك لدى وزارة الصحة والرعاية الاجتماعية، ووزارة الداخلية، والسلطات المحلية.

ولا تقتصر المسألة على مجرد إتاحة الشيفرة علناً؛ إذ قالت أماندا بروك، الرئيسة التنفيذية لمنظمة "أوبن يو كيه" (OpenUK)، في تصريحات صحفية، إن حالة هيئة تفتيش التخطيط عكست فشلاً في الإجراءات وليس عيباً متأصلاً في المصادر المفتوحة، موضحة: "كُشفت تلك البيانات نتيجة الفشل في اتباع الإجراءات السليمة".

"ليست هذه مشكلة أمنية مرتبطة بالمصادر المفتوحة".

كما أبلغ نيسبت-سميث عن ثغرات في شيفرات تابعة لوزارة التعليم، شملت خدمة مشتريات المدارس، وخدمة لتقديم طلبات المعلمين تحتوي على بيانات شخصية ووثائق إثبات هوية، والسجل الرئيسي في إنجلترا لمقدمي التدريب والتدريب المهني الممولين من الحكومة. وأفادت التقارير بأن المؤسسات المتأثرة قد عالجت هذه المشكلات منذ ذلك الحين.

واتسع نطاق الجدل مع خفض أدوات الذكاء الاصطناعي الجهد المطلوب للبحث في الشيفرات العامة عن بيانات الاعتماد الضعيفة وأخطاء الإعدادات. ونقلت التقارير حججاً طُرحت مؤخراً تدعو الهيئات العامة للتوقف عن نشر الشيفرات المصدرية علناً، وأشارت إلى أن هيئة الخدمات الصحية الوطنية (NHS) أصدرت توجيهات لفرق التكنولوجيا التابعة لها في مايو بالابتعاد عن الشيفرات مفتوحة المصدر بسبب مخاوف أمنية مرتبطة بالذكاء الاصطناعي.

وحذر نيسبت-سميث من أن إغلاق المستودعات دون إصلاح العيوب قد يؤدي إلى تفاقم الأمور، نظراً لأن الخصوم ربما يكونون قد نسخوا تلك البيانات بالفعل، قائلاً في تصريحاته: "ما لم تبادروا بإصلاح جميع المشكلات، فإن إغلاقها قد يلفت مزيداً من الانتباه إليها بدلاً من حمايتها".

المصدر: تقرير صحفي متخصص، 10 نوفمبر 2026