İngiltere kamu kodlarında 100’den fazla güvenlik açığı bulundu

ControlPlane güvenlik araştırmacısı Chris Nesbitt-Smith, Birleşik Krallık hükümetinin kamuya açık kodlarında 100'den fazla ciddi güvenlik açığı buldu; gelişmeyi 10 Kasım'da WIRED bildirdi.

İnceleme, 33 kuruma ait 349 kamu sektörü kod tabanını kapsadı. Nesbitt-Smith, sağlık, eğitim, planlama ve yerel yönetimlerle bağlantılı sistemler dahil olmak üzere bunların yaklaşık üçte ikisinde güvenlik açıkları görüldüğünü söyledi.

Nesbitt-Smith, kamuya açık depoları incelemek için Anthropic'in Claude Opus ve Sonnet yapay zeka modellerini kullandı ancak WIRED'a bu çalışmanın gelişmiş araçlar gerektirmediğini belirtti. “Bunların hiçbiri genel medyanın siber saldırılar konusunda endişelendiği karmaşıklık düzeyinde değil” diyen Nesbitt-Smith, “Hepsi son derece basit şeyler” diye ekledi.

En ciddi vaka, İngiltere'deki arazi kullanımı konularını yürüten Planning Inspectorate kurumunda yaşandı. Nesbitt-Smith, yanlışlıkla GitHub'a yüklenen ve tamamen kaldırılmayan bir Microsoft Entra ID oturum açma bilgisinin, SharePoint sitelerine ve çalışanların özel OneDrive hesaplarına geniş çaplı okuma ve yazma erişimi sağlayabileceğini söyledi.

Nesbitt-Smith, WIRED'a yaptığı açıklamada, “Onlara fidye yazılımı bulaştırma, tüm verileri şifreleme veya sadece tüm verileri çalma seçeneği fazlasıyla vardı” dedi. Araştırmacı, söz konusu erişimin yasal planlama soruşturmaları ve itirazları için kullanılan kanıt kütüphaneleri ile İK kayıtlarını da kapsayabileceğini söyledi.

Bir Planning Inspectorate sözcüsü WIRED'a, izleme araçlarının Nesbitt-Smith'in faaliyetini ağustos ayında tespit ettiğini ve ControlPlane iletişime geçtiğinde kurumun konuyu zaten bir siber olay olarak ele aldığını söyledi. Sözcü, güvenlik açığının bildirimden sonraki 20 dakika içinde giderildiğini ve herhangi bir veri ihlalinin yaşanmadığını belirtti.

Bulgular, kamu parasıyla geliştirilen kodların yayımlanmasına yönelik uzun süredir devam eden Birleşik Krallık politika tercihiyle çelişiyor. Hükümet; Department of Health and Social Care, Home Office ve yerel yönetimler de dahil olmak üzere şeffaflığı ve yeniden kullanımı desteklemek amacıyla yaklaşık on yıldır açık yayımı benimsiyor.

Sorun yalnızca kodun kamuya açık olup olmaması değil. OpenUK icra kurulu başkanı Amanda Brock, WIRED'a Planning Inspectorate vakasının açık kaynağın doğasındaki bir kusurdan ziyade süreçteki bir aksaklığı yansıttığını söyledi. Brock, “Bu veriler, doğru sürecin takip edilmemesinden kaynaklanan bir başarısızlık yüzünden açığa çıktı” dedi.

“Bu bir açık kaynak güvenlik sorunu değil.”

Nesbitt-Smith ayrıca Department for Education kodlarında da güvenlik açıkları bildirdi; bunlar arasında bir okullar için satın alma hizmeti, kişisel bilgileri ve kimlik belgelerini içeren bir öğretmen başvuru hizmeti ve İngiltere'nin devlet destekli eğitim sağlayıcıları ve çıraklık programlarına ilişkin ana kayıt defteri yer alıyor. WIRED, etkilenen kuruluşların o tarihten bu yana sorunları çözdüğünü bildirdi.

Yapay zeka araçlarının zayıf kimlik bilgilerini ve hatalı yapılandırmaları aramak için gereken çabayı azaltmasıyla tartışma daha da genişledi. WIRED, kamu kurumlarının kaynak kodlarını açıkça yayımlamayı bırakması yönündeki son argümanlara atıfta bulundu ve NHS'in yapay zekayla ilgili güvenlik endişeleri nedeniyle mayıs ayında teknoloji ekiplerine açık kaynaklı koddan uzaklaşma talimatı verdiğini bildirdi.

Nesbitt-Smith, açıkları düzeltmeden depoları kapatmanın durumu daha da kötüleştirebileceği, çünkü saldırganların bunları zaten kopyalamış olabileceği konusunda uyardı. WIRED'a konuşan Nesbitt-Smith, “Tüm sorunları gidermeyecekseniz, depoyu kapatarak muhtemelen konuya daha fazla dikkat çekmiş olursunuz” dedi.

Kaynak: sektörel basın haberi, WIRED, 10 Kasım 2026