Студент первого курса Университета Кхон Каен за месяц обнаружил уязвимость в системе NASA и получил благодарственное письмо от американского космического агентства.
10 ноября 2026 года журналисты посетили Колледж компьютерных наук Университета Кхон Каен, чтобы встретиться с 25-летним Танапонгом Бутсричей, которого друзья называют Пондом. Он учится на первом курсе программы по кибербезопасности. NASA поблагодарило его за обнаружение и сообщение об уязвимости в информационной системе агентства. Понд отправил отчёт под псевдонимом nullbyt3z в рамках политики раскрытия уязвимостей NASA.
Речь идёт об уязвимости типа межсайтового скриптинга (XSS). Она может позволить злоумышленнику внедрить скрипт на веб-страницу и атаковать пользователей через браузер. Понд сообщил о находке через официальный канал NASA, соблюдая правила ответственного раскрытия: тестировал систему только в разрешённых пределах, передал сведения владельцу и не использовал уязвимость во вред.
По словам студента, начать поиски ему предложил преподаватель. Тот увидел в соцсетях публикацию человека, ранее получившего благодарность NASA за найденную уязвимость, и посоветовал Понду попробовать свои силы. Студент применил знания, полученные на занятиях, и около месяца исследовал систему. Он отправил примерно 10 отчётов, однако некоторые находки уже были известны. В итоге ему удалось обнаружить уязвимость, которая, вероятно, оказалась в восьмом или девятом отчёте.
Понд отметил, что многие специалисты хотят проверить системы NASA из-за мировой известности агентства, поэтому особенно сложно найти ещё не зарегистрированную проблему. Обнаруженная им XSS-уязвимость могла позволить злоумышленнику использовать JavaScript через браузер и попытаться получить некоторые данные, например связанные с авторизацией cookie. Студент подчеркнул, что проверял реальную систему, а не выполнял учебное упражнение.
NASA сначала проверяет, не сообщал ли кто-то об этой уязвимости раньше. Если находка новая, агентство уведомляет исследователя, исправляет проблему, а затем отправляет благодарственное письмо. Понд рассказал, что очень обрадовался, когда узнал об уникальности своей находки: поиски заняли около месяца и потребовали нескольких попыток. Его родители тоже были очень рады.
Работа с настоящей системой помогла студенту понять, что уязвимости кибербезопасности несут реальные риски. Он призвал интересующихся чаще изучать эту область. В университете начинают с основ программирования и законов, связанных с кибербезопасностью. Преподаватели особо подчёркивают: проверять системы можно только с разрешения, иначе это будет незаконно.
NASA стала первой организацией, чью систему проверял Понд. Он пока не участвовал в программах других компаний, хотя знает о программах Bug Bounty, где за найденные уязвимости выплачивают вознаграждение. Теперь студент намерен продолжать развивать навыки в области кибербезопасности.
В письме NASA от 5 ноября 2026 года, отправленном из штаб-квартиры агентства в Вашингтоне, говорится, что пользователь nullbyt3z проявил себя как независимый исследователь кибербезопасности и сообщил об уязвимости в соответствии с политикой ответственного раскрытия. Письмо подписал Келвин Тейлор, старший специалист NASA по информационной безопасности.
В NASA подчеркнули, что умение находить и сообщать об уязвимостях — ценный навык. Отчёт студента помог агентству выявить ранее неизвестную проблему и укрепить защиту целостности и доступности информации. NASA поблагодарило его за вклад и профессионализм, поддерживающие работу агентства в области науки, технологий, авиации и освоения космоса.
Ассистент-профессор Ису Канчансурат, руководитель программы по кибербезопасности, рассказал, что предложил заинтересованным студентам изучить систему NASA и применить знания на практике. Найденная проблема связана с XSS — одним из видов уязвимостей компьютерных систем.
По словам преподавателя, уязвимости могут позволить злоумышленникам получить доступ к внутренним данным организаций, использовать их или продать. Сообщение студента помогает владельцу системы устранить проблему и лучше защитить информацию.
Для программы университета это, вероятно, первый случай, когда студент обнаружил уязвимость и сообщил о ней крупной международной организации. Ранее учащиеся находили проблемы в системах небольших организаций и внутренних сетях.
Программа бакалавриата по кибербезопасности в Университете Кхон Каен работает около четырёх лет и открыта для всех желающих. По словам преподавателя, это первая подобная программа для гражданских специалистов. Обучение длится четыре года: на первом курсе студенты осваивают основы кибербезопасности и этичного тестирования на проникновение, на втором углубляют знания, на третьем изучают специализацию, а на четвёртом могут работать с компаниями или выполнять проект по программе курса.
Преподаватель добавил, что гордится студентом, который применил накопленные знания в реальной ситуации и этично сообщил об уязвимости владельцу системы. Это наглядный пример практической пользы образования в области кибербезопасности.
Ассистент-профессор Сатхит Кравенкит, ещё один руководитель программы, отметил, что успех стал возможен благодаря не только теории: студент смог применить полученные навыки в настоящей системе и получить практический опыт за пределами аудитории.