--- title: Investigador de ControlPlane detecta más de cien vulnerabilidades graves en el código público del gobierno británico url: https://www.elseif.net/es/investigador-de-controlplane-detecta-mas-de-cien-vulnerabilidades-graves-en-el-codigo-publico-del-gobierno-britanico published: 2026-11-13T08:06:57+00:00 language: es section: Modelos source: https://www.ithome.com/1/024/865.htm organizations: ControlPlane, OpenUK, NHS publisher: elseif --- # Investigador de ControlPlane detecta más de cien vulnerabilidades graves en el código público del gobierno británico Un investigador de seguridad de la empresa ControlPlane identificó más de cien vulnerabilidades de alto riesgo en el código fuente que el gobierno del Reino Unido publica de forma abierta. El hallazgo, realizado por Chris Nesbitt-Smith, revela deficiencias críticas en el mantenimiento de los sistemas informáticos públicos que podrían exponer datos sensibles a ataques de ransomware y robo de información. El especialista utilizó modelos de inteligencia artificial para escanizar los repositorios y descubrir errores que, según su evaluación, son de baja complejidad pero con consecuencias potencialmente graves para la seguridad nacional y la privacidad de los ciudadanos. La investigación abarcó 349 repositorios de código pertenecientes a 33 instituciones del sector público británico. Nesbitt-Smith empleó los modelos de inteligencia artificial Claude Opus y Sonnet, ejecutados en un equipo portátil de consumo, para realizar el análisis. El resultado mostró que aproximadamente dos tercios de los repositorios examinados contenían vulnerabilidades de seguridad. Entre las áreas afectadas se encuentran los sistemas de la Oficina de Inspección de Planificación, que gestiona los asuntos de uso del suelo en Inglaterra, y diversos proyectos del Departamento de Educación. Estos últimos incluyen servicios de compras para escuelas, plataformas de solicitud para docentes y registros principales de programas de aprendizaje y formación financiados por el gobierno. El incidente más crítico involucra a la Oficina de Inspección de Planificación, donde un error operativo provocó que las credenciales de acceso fueran subidas accidentalmente a la plataforma pública GitHub. Estas credenciales, asociadas a Microsoft Entra ID, otorgaban permisos de lectura y escritura de nivel superior sobre todo el sistema, incluyendo sitios de SharePoint y cuentas privadas de OneDrive de los empleados. Además, permitían acceder a archivos sensibles protegidos por requisitos legales de preservación, como pruebas de investigaciones y apelaciones de planificación. La combinación de la exposición pública de las credenciales, la amplitud de los permisos y la ausencia de fecha de expiración creó una situación de riesgo extremo que permitía a un atacante potencial cifrar o robar toda la información almacenada. La Oficina de Inspección de Planificación afirmó que sus herramientas de monitoreo de seguridad detectaron la actividad del investigador en agosto, antes de que ControlPlane contactara con la institución. La entidad declaró que confirmó y corrigió la vulnerabilidad en un plazo de veinte minutos tras recibir el informe, y verificó que no se produjo ninguna fuga de datos. La organización revisó y fortaleció sus sistemas y procesos para prevenir futuras incidencias similares. Por su parte, Amanda Brock, directora ejecutiva de la organización sin fines de lucro OpenUK, señaló que el problema no reside en el software de código abierto en sí, sino en la falta de gestión adecuada de las herramientas públicas dentro de la administración. El escaneo también reveló vulnerabilidades en un portal de datos abiertos del gobierno de Escocia, que permitía a cualquier visitante leer información de cuentas administrativas y modificar la configuración del sitio web. Estos hallazgos han reavivado el debate sobre si el sector público británico debe continuar publicando su código fuente. En mayo, se informó de que el Servicio Nacional de Salud pidió a sus equipos técnicos dejar de usar código abierto por temor a los riesgos de seguridad asociados con los modelos de inteligencia artificial. El gobierno británico ha emitido directrices para abordar la relación entre la publicación de código y el riesgo de vulnerabilidades. Nesbitt-Smith advirtió que cerrar los repositorios sin corregir los errores existentes podría empeorar la situación, ya que los atacantes podrían haber copiado el código previamente, mientras que los investigadores perderían la oportunidad de identificar y reportar las fallas.