De centrale sårbarheder

Forskerne fandt flere specifikke kritiske sårbarheder:

• Kritiske fejl i Pad CMS – et udbredt content management-system, der havde nået sin 'end-of-life'-dato . Forskerne kunne få adgang til over 300 offentlige hjemmesider uden adgangskode. Producenten nægtede at udbedre fejlene, fordi softwaren ikke længere blev understøttet .

• Omfattende domstolssårbarhed – en anden fejl gjorde det muligt for forskerne at få adgang til hjemmesider, der dækkede omkring to tredjedele af Polens domstole, svarende til cirka 245 retter .

• Udbredte, letudnyttelige fejl – nogle sårbarheder blev beskrevet som 'utroligt lette at udnytte', men blev ikke taget alvorligt af producenterne, der afviste rapporterne som 'blotte ulejligheder' .

Tre systemiske svigt

Kruczek og Szczurowski pegede på tre sammenhængende fejl, der muliggjorde risiciene:

1. Udtjent og uunderstøttet software – Pad CMS og andre uopdaterede platforme kørte stadig på kritiske offentlige tjenester, selv efter at producentens support var ophørt .

2. Ingen bug bounty-programmer eller strukturerede rapporteringskanaler – manglen på officielle programmer for ansvarlig offentliggørelse af sårbarheder betød, at forskere og etiske hackere ikke havde en klar vej til at rapportere problemer .

3. Afviste sikkerhedsrapporter – når forskere rapporterede fund direkte til producenter, blev de ofte ignoreret eller afvist som mindre irritationsmomenter snarere end kritiske sikkerhedsrisici .

De samme fejl udnyttes i kritisk infrastruktur

Forskningen blev præsenteret på baggrund af en eskalering af formodede russiske statsstøttede cyberangreb mod Polens kritiske infrastruktur. Mønstrene, Kruczek og Szczurowski fandt i den offentlige webinfrastruktur, er de samme svagheder, der aktivt bliver våbenlagte:

Angreb på energisektoren (december 2025)

Koordinerede angreb ramte Polens energiinfrastruktur, herunder 30 vind- og solcelleanlæg og et stort kraftvarmeværk (CHP). Angrebene blev tilskrevet den russiske statsstøttede Sandworm-APT-gruppe og involverede wiper-malware. Dette var det første cyberangreb mod Polens energisektor med et rent destruktivt mål .

Et parallelt, tidligere urapporteret angreb ramte et mindre kraftvarmeværk, der forsyner 50.000 indbyggere. Angriberne brugte en ny privat APN-pivot-teknik (den første dokumenterede anvendelse af denne vektor i et virkeligt angreb), fik adgang til en WAGO-PLC, der kun var beskyttet af standardadministratoradgangskoder, og lukkede en dampturbine og et vandbehandlingssystem. Derefter saboterede de netværksenheder og slettede logs for at forhindre genopretning .

Gennembrud i vandrensningsanlæg (2025)

Hackere brød ind i mindst fem polske vandrensningsanlæg i 2025 og fik adgang til industrielle styresystemer (ICS), der regulerer pumper, filtre og kemikaliedosering. Angriberne ændrede driftsparametre og delte optagelser på sociale medier .

Angrebsvektoren var i alle tilfælde upåfaldende: standardadgangskoder og kontrolsystemer, der var direkte forbundet til internettet . Polens interne sikkerhedstjeneste (ABW) rejste formelt tiltale mod to russiske statsborgere for en kampagne med 17 cyberangreb mod kritisk infrastruktur, herunder syv vand- og spildevandsanlæg .

Hovedbudskab

Kruczek og Szczurowskis fund viser, at det samme mønster af svag sikkerhed – udtjent software, ingen rapporteringsmekanismer og afviste sikkerhedsrapporter – der efterlod Polens offentlige webinfrastruktur blottet, også afspejler de sårbarheder, der aktivt udnyttes i formodede russiske angreb på Polens energi- og vandsektorer. Svage standardadgangskoder, uopdaterede systemer og usegmenterede netværk var direkte angrebsvektorer i både webinfrastrukturens fejl og de destruktive OT-angreb på kraftværker og vandrensningsanlæg.

De centrale sårbarheder

Forskerne fandt flere specifikke kritiske sårbarheder:

• Kritiske fejl i Pad CMS – et udbredt content management-system, der havde nået sin 'end-of-life'-dato . Forskerne kunne få adgang til over 300 offentlige hjemmesider uden adgangskode. Producenten nægtede at udbedre fejlene, fordi softwaren ikke længere blev understøttet .

• Omfattende domstolssårbarhed – en anden fejl gjorde det muligt for forskerne at få adgang til hjemmesider, der dækkede omkring to tredjedele af Polens domstole, svarende til cirka 245 retter .

• Udbredte, letudnyttelige fejl – nogle sårbarheder blev beskrevet som 'utroligt lette at udnytte', men blev ikke taget alvorligt af producenterne, der afviste rapporterne som 'blotte ulejligheder' .

Tre systemiske svigt

Kruczek og Szczurowski pegede på tre sammenhængende fejl, der muliggjorde risiciene:

1. Udtjent og uunderstøttet software – Pad CMS og andre uopdaterede platforme kørte stadig på kritiske offentlige tjenester, selv efter at producentens support var ophørt .

2. Ingen bug bounty-programmer eller strukturerede rapporteringskanaler – manglen på officielle programmer for ansvarlig offentliggørelse af sårbarheder betød, at forskere og etiske hackere ikke havde en klar vej til at rapportere problemer .

3. Afviste sikkerhedsrapporter – når forskere rapporterede fund direkte til producenter, blev de ofte ignoreret eller afvist som mindre irritationsmomenter snarere end kritiske sikkerhedsrisici .

De samme fejl udnyttes i kritisk infrastruktur

Forskningen blev præsenteret på baggrund af en eskalering af formodede russiske statsstøttede cyberangreb mod Polens kritiske infrastruktur. Mønstrene, Kruczek og Szczurowski fandt i den offentlige webinfrastruktur, er de samme svagheder, der aktivt bliver våbenlagte:

Angreb på energisektoren (december 2025)

Koordinerede angreb ramte Polens energiinfrastruktur, herunder 30 vind- og solcelleanlæg og et stort kraftvarmeværk (CHP). Angrebene blev tilskrevet den russiske statsstøttede Sandworm-APT-gruppe og involverede wiper-malware. Dette var det første cyberangreb mod Polens energisektor med et rent destruktivt mål .

Et parallelt, tidligere urapporteret angreb ramte et mindre kraftvarmeværk, der forsyner 50.000 indbyggere. Angriberne brugte en ny privat APN-pivot-teknik (den første dokumenterede anvendelse af denne vektor i et virkeligt angreb), fik adgang til en WAGO-PLC, der kun var beskyttet af standardadministratoradgangskoder, og lukkede en dampturbine og et vandbehandlingssystem. Derefter saboterede de netværksenheder og slettede logs for at forhindre genopretning .

Gennembrud i vandrensningsanlæg (2025)

Hackere brød ind i mindst fem polske vandrensningsanlæg i 2025 og fik adgang til industrielle styresystemer (ICS), der regulerer pumper, filtre og kemikaliedosering. Angriberne ændrede driftsparametre og delte optagelser på sociale medier .

Angrebsvektoren var i alle tilfælde upåfaldende: standardadgangskoder og kontrolsystemer, der var direkte forbundet til internettet . Polens interne sikkerhedstjeneste (ABW) rejste formelt tiltale mod to russiske statsborgere for en kampagne med 17 cyberangreb mod kritisk infrastruktur, herunder syv vand- og spildevandsanlæg .

Hovedbudskab

Kruczek og Szczurowskis fund viser, at det samme mønster af svag sikkerhed – udtjent software, ingen rapporteringsmekanismer og afviste sikkerhedsrapporter – der efterlod Polens offentlige webinfrastruktur blottet, også afspejler de sårbarheder, der aktivt udnyttes i formodede russiske angreb på Polens energi- og vandsektorer. Svage standardadgangskoder, uopdaterede systemer og usegmenterede netværk var direkte angrebsvektorer i både webinfrastrukturens fejl og de destruktive OT-angreb på kraftværker og vandrensningsanlæg.