Security Flaws Across UK Government Sites Exposed ‘God-Tier’ Information

英国政府网站安全漏洞暴露“至高权限”信息 | WIRED

Isabella Ward

安全

2026年11月10日 上午2:00

英国政府网站安全漏洞暴露“至高权限”信息

一位研究人员在审查公开代码时发现，多个政府部门存在信息泄露风险。

图片插画：Jobanny Cabrera；Getty Images

保存此故事

一位安全研究人员在英国政府公开的代码中发现了100多个严重漏洞，由于网络卫生管理不善，导致敏感数据面临风险。

英国政府在过去十年间一直默认公开使用公共资金开发的代码，因为这样更透明，同时也有助于提高代码复用效率。这包括卫生和社会护理部、内政部以及地方当局。

但资金紧张导致各部门忽视了对技术系统的维护和升级。虽然ControlPlane安全研究员Chris Nesbitt-Smith使用Claude的Opus和Sonnet AI模型发现了这些漏洞，但他表示自己仅使用笔记本电脑上的消费级模型进行分析，并指出许多问题本可以通过常规IT健康检查发现。“这些漏洞远未达到媒体普遍担忧的网络攻击复杂程度，”他向WIRED表示，“这些都是低级错误。”

在最严重的案例中，负责英格兰土地使用事务的规划监察局在意外将登录凭证提交到公共代码仓库GitHub后，未能彻底删除这些凭证。Nesbitt-Smith指出，这些凭证具有极广的访问权限且似乎不会过期，与该机构意外公开凭证的行为叠加，使情况变得尤为危险。

根据Nesbitt-Smith的说法，完整的Microsoft Entra ID权限可提供“至高权限”级别的读写权限，涵盖所有SharePoint站点和员工私人OneDrive账户（包括人力资源记录）。该安全研究员还表示，这还会提供对敏感文件库的访问权限，这些文件库用于在法定规划调查和申诉过程中保护证据。“对这些数据进行加密勒索或直接窃取的可能性显而易见，”Nesbitt-Smith表示。

规划监察局发言人告诉WIRED，其网络监控工具在8月立即检测到了Nesbitt-Smith的活动，并在ControlPlane联系时已将此事件作为网络安全事件处理。该机构在收到报告后20分钟内识别并修复了该漏洞，并确认未发生数据泄露。“我们已审查并加强了系统和流程，以防止此类问题再次发生，感谢研究人员的工作并提醒我们注意这一问题，”他们向WIRED表示。

非营利行业组织OpenUK首席执行官Amanda Brock表示：“规划监察局的问题并非源于开源软件，而是使用公共工具时的内部管理疏漏。”她补充道：“数据泄露是由于未能遵循良好流程所致，这并非开源软件安全问题。”

在对33家组织的349个公共部门代码库进行扫描后，Nesbitt-Smith表示，他发现其中约三分之二存在漏洞。这些漏洞中有一些出现在教育部的代码中，包括学校使用的采购服务、包含个人详细信息、资质、就业历史和身份文件的教师申请服务，以及英格兰政府资助的培训机构和学徒登记的主要名录。他还发现苏格兰政府开放数据门户中存在一个漏洞，该漏洞允许任何访客读取管理账户信息并修改网站配置。相关组织此后已解决了这些问题。

近期有观点认为，随着AI加速了漏洞发现过程，公共部门应停止公开发布源代码。据报道，英国国家医疗服务体系（NHS）于5月下令技术团队因担心AI模型的影响而逐步远离开源代码。Nesbitt-Smith表示，如果不立即解决根本问题就关闭代码库，这将是“最坏情况”，因为这会阻止像他这样的研究人员发现漏洞，而且很可能会有对手已经镜像了这些代码库并持续保有访问权限。他说：“除非你打算解决所有问题，否则关闭代码库反而可能引起更多关注，因为这就像在说‘这片区域危险重重，但请不要在这里查看’。”