Bir güvenlik araştırmacısı, İngiltere'de kamu kurumlarının herkese açık yayımladığı kaynak kod depolarında 100'den fazla ciddi güvenlik açığı buldu. ControlPlane şirketinden araştırmacı Chris Nesbitt-Smith, 33 kamu kurumuna ait 349 kod tabanını taradı ve bunların yaklaşık üçte ikisinde açık tespit ettiğini söyledi (WIRED, 10 Kasım 2026).
En ciddi bulgu, GitHub'a yanlışlıkla bırakılan bir oturum bilgisinin, bir kamu kurumu sistemlerindeki tüm dosyalara erişim vermesi oldu.
Tek oturum bilgisi neye erişim veriyordu
İngiltere genelinde arazi kullanımı ve planlama itirazlarına bakan Planlama Denetim Kurumu, bir Microsoft Entra ID oturum bilgisini yanlışlıkla herkese açık GitHub deposuna yükledi ve tamamen kaldırmadı. Araştırmacıya göre bu kimlik bilgisi, kurumun tüm SharePoint sitelerine ve çalışanların özel OneDrive hesaplarına okuma ve yazma erişimi verecek düzeydeydi.
İnsan kaynakları kayıtları ve yasal planlama soruşturmaları ile itirazları için saklama altındaki delil arşivleri de bu erişime dahildi. Nesbitt-Smith bu erişimi «tanrı seviyesi» diye tanımladı. Bilginin bu kadar geniş yetki vermesi ve süresi dolmuyor görünmesi riski büyüttü. Nesbitt-Smith, «Verileri fidye yazılımıyla şifrelemek ya da tamamını çalmak seçeneği fazlasıyla oradaydı» dedi.
Kurum ne açıkladı
Planlama Denetim Kurumu sözcüsü, siber izleme araçlarının araştırmacının etkinliğini Ağustos ayında hemen tespit ettiğini, ControlPlane iletişime geçtiğinde olayı zaten siber olay olarak ele aldıklarını söyledi. Kurum açığı bildirimden sonraki 20 dakika içinde kapattığını ve veri ihlali yaşanmadığını doğruladığını açıkladı.
Diğer kurumlarda neler bulundu
Eğitim Bakanlığı'na ait kodda okulların kullandığı bir satın alma hizmetinde, kişisel bilgiler, nitelikler, iş geçmişi ve kimlik belgeleri içeren öğretmen başvuru hizmetinde ve devlet destekli eğitim sağlayıcıları ile çıraklık programlarının ana sicilinde açıklar bulundu.
İskoçya Hükümeti'nin bir açık veri portalındaki açık ise, herhangi bir ziyaretçinin yönetici hesap bilgilerini okumasına ve site ayarlarını değiştirmesine imkân veriyordu. İlgili kurumlar sorunları giderdi. Nesbitt-Smith açıkları yapay zekâ modelleriyle bulduğunu, ancak dizüstü bilgisayarda tüketici sürümü modeller kullandığını ve sorunların çoğunun rutin bir BT sağlık kontrolüyle yakalanabileceğini söyledi. Araştırmacı, «Bunların hiçbiri, medyanın siber saldırılarda endişelendiği gelişmişlik düzeyinde değil» dedi. OpenUK'in CEO'su Amanda Brock, sorunun açık kaynak değil, herkese açık araçlar kullanılırken iç düzenin sağlanamaması olduğunu söyledi.
Açık kod tartışması
İngiltere'de, yapay zekâ açık bulmayı hızlandırdığı için kamu kurumlarının kaynak kodu açık yayımlamayı bırakması gerektiği tartışılıyor. NHS, Mayıs ayında teknoloji ekiplerine açık kaynak koddan uzaklaşma talimatı verdi. Nesbitt-Smith, sorunları düzeltmeden depoları kapatmanın «en kötü senaryo» olacağını, saldırganların bu depoları büyük olasılıkla çoktan kopyaladığını ve erişimi koruyacağını söyledi.
Türkiye açısından
Olay, kamu kurumlarının yazılım geliştirirken kod depolarına yanlışlıkla bıraktığı parola, anahtar veya oturum bilgilerinin, silinse bile depo geçmişinde kalabildiğini gösteriyor. Tek bir bilginin kurumun tüm belge ve e-posta altyapısına kapı açabildiği görülüyor. Türkiye'de de birçok kurum Microsoft 365, SharePoint ve OneDrive kullanıyor. Kaynaklarda Türkiye'ye dair bir kurum, sayı ya da bağlantı yer almıyor.
Kaynaklar
Kapak görseli: «Temple Quay House», Mr Ignavy, Wikimedia Commons, CC BY-SA 2.0 (kırpıldı, 1200x675).
