Säkerhetsforskare upptäcker hundratall allvarliga sårbarheter i brittisk statlig kod
13 november 2026 · 3 min läsning
Även publicerad på English, Indonesia, 日本語, Türkçe, العربية, Español, Italiano, Nederlands, Norsk, Русский, Polski
En säkerhetsforskare har upptäckt mer än hundra allvarliga säkerhetssårbarheter i kod som den brittiska staten har publicerat. Dessa brister beror på bristande underhåll av informationssystem och kan leda till att känsliga uppgifter läcker ut. Sårbarheterna ökar risken för att data stjäls eller att system drabbas av skadlig programvara. Forskaren använde artificiell intelligens för att genomföra granskningen av den offentliga koden.
Under de senaste tio åren har den brittiska staten som standard publicerat kod som utvecklats med offentliga medel. Syftet med denna praxis har varit att öka transparensen i statens arbete. Det har också underlättat för andra organisationer att återanvända koden, vilket har sänkt utvecklingskostnaderna. Institutioner som det brittiska departementet för hälsa och social omsorg samt inrikesdepartementet har tillämpat denna metod. Under de senaste åren har dock ekonomiska begränsningar lett till att flera statliga organ har försummat underhållet och uppgraderingen av befintliga system.
Forskaren vid säkerhetsföretaget ControlPlane, Chris Nesbitt-Smith, använde modellerna Claude Opus och Sonnet för att skanna den offentliga koden. Han betonade att han enbart använde konsumentmodellerna som kördes på en bärbar dator. Många av de upptäckta bristerna kunde ha identifierats genom vanliga säkerhetskontroller. Han beskrev problemen som enkla misstag snarare än komplexa attacker. Enligt honom handlar det inte om avancerade metoder som ofta diskuteras i media.
Den allvarligaste upptäckten gällde Planeringsinspektionen, som hanterar markanvändningsfrågor i England. Personal vid myndigheten lade oavsiktligt in inloggningsuppgifter på den offentliga plattformen GitHub. Myndigheten lyckades inte återkalla dessa uppgifter helt, vilket innebar att de fortfarande var giltiga. Uppgifterna hade mycket breda tillgångsrättigheter och saknade utgångsdatum. De tillhörde Microsoft Entra ID och gav nästan fullständiga läs- och skrivrättigheter till hela systemet. Detta innebar tillgång till alla SharePoint-sajter samt anställdas privata OneDrive-konton, inklusive personalregister. Angripare kunde också ha tillgång till skyddade arkiv med juridiskt material för planeringsärenden och överklaganden. Forskaren bedömde att skadlig programvara kunde ha installerats eller att all data kunde ha stulits.
Planeringsinspektionen meddelade att deras övervakningsverktyg upptäckte aktiviteten i augusti. Myndigheten hade redan hanterat händelsen som ett säkerhetsincident innan de kontaktades. De bekräftade och åtgärdade bristen inom tjugo minuter efter rapporteringen. En talesperson sade att inga data läckt ut och att systemen har förstärkts för att förhindra liknande händelser. Amanda Brock, vd för den ideella organisationen OpenUK, menade att problemet inte berodde på öppen källkod. Hon påpekade att bristen på korrekt hantering av interna verktyg var orsaken till att uppgifterna exponerades.
Granskningen omfattade 349 kodbas från 33 organisationer inom den offentliga sektorn. Ungefär två tredjedelar av dessa hade säkerhetssårbarheter. Flera projekt hos det brittiska utbildningsdepartementet påvisade brister. Detta inkluderade inköpstjänster för skolor, tjänster för lärarsökande samt huvudregistret för statligt finansierade utbildningsprogram och lärlingsprojekt. Tjänsten för lärarsökande innehöll personuppgifter, utbildningsbevis, yrkeserfarenhet och identitetsdokument. En sårbarhet upptäcktes även på en öppen dataportal för den skotska regeringen. Den bristen tillät besökare att läsa administratörsuppgifter och ändra webbplatsens konfiguration.
Diskussionen om offentlig kod har intensifierats när artificiell intelligens accelererar upptäckten av sårbarheter. I maj rapporterades det att den brittiska nationella sjukvården, NHS, bad sina tekniska team att successivt upphöra med att använda öppen källkod. Orsaken var oro för säkerhetsrisker kopplade till artificiell intelligens. Den brittiska staten har också publicerat riktlinjer som behandlar sambandet mellan offentlig kod och sårbarheter. Forskaren varnade dock för att att bara stänga av koden utan att fixa bristerna skulle vara värst. Han menade att offentlig kod tillåter säkerhetsforskare att rapportera problem. När koden blir privat förlorar forskarna möjligheten att granska den. Angripare har sannolikt redan kopierat kodbaserna och kan fortsätta utnyttja bristerna. Han liknade det vid att peka ut en fara men be om att ingen ska titta dit. Den underliggande frågan är om staten kan fixa sårbarheter i tid och hantera rättigheter korrekt.