Keskeiset haavoittuvuudet

Tutkijat tunnistivat useita kriittisiä haavoittuvuuksia:

• Pad CMS:n kriittiset puutteet – laajalti käytetty sisällönhallintajärjestelmä oli tullut tiensä päähän eikä sitä enää tuettu . Tutkijat pääsivät yli 300 julkiselle verkkosivustolle ilman salasanaa. Ohjelmistovalmistaja kieltäytyi korjaamasta haavoittuvuutta, koska ohjelmisto oli elinkaarensa lopussa eikä sitä enää päivitetty .

• Oikeuslaitoksen laajuinen kompromissi – toinen haavoittuvuus mahdollisti pääsyn verkkosivustoille, jotka kattavat noin kaksi kolmasosaa Puolan oikeuslaitoksesta eli noin 245 tuomioistuinta .

• Laajat, helposti hyödynnettävät viat – osan haavoittuvuuksista kerrottiin olevan "uskomattoman helppoja hyödyntää", mutta valmistajat eivät suhtautuneet niihin vakavasti ja kuitasivat ilmoitukset "pieninä haittoina" .

Kolme systeemistä epäonnistumista

Kruczek ja Szczurowski osoittivat kolme toisiinsa liittyvää ongelmaa, jotka mahdollistivat nämä riskit:

1. Elinkaarensa lopussa oleva, ilman tukea oleva ohjelmisto – Pad CMS ja muut korjaamattomat alustat olivat edelleen käytössä kriittisissä julkisissa palveluissa, vaikka valmistajan tuki oli jo päättynyt .

2. Bug Bounty -ohjelmien ja virallisten ilmoituskanavien puute – virallisten bugipalkkio-ohjelmien ja turvallisten tapojen puute ilmoittaa haavoittuvuuksista tarkoitti, ettei tutkijoilla ja eettisillä hakkereilla ollut selkeää väylää kertoa ongelmista .

3. Ilmoitusten sivuuttaminen – kun tutkijat ilmoittivat löydöksistä suoraan valmistajille, ilmoitukset sivuutettiin usein tai niitä kuvattiin pieniksi haitoiksi kriittisten tietoturvariskien sijaan .

Samat heikkoudet hyökkäysten kohteena kriittisessä infrastruktuurissa

Tutkimus esitettiin taustalla, jossa epäillyt Venäjän valtiolliset kyberiskut Puolan kriittiseen infrastruktuuriin ovat kiihtyneet. Kruczekin ja Szczurowskin löytämät haavoittuvuuskuviot ovat samoja, joita hyödynnetään aktiivisesti:

Energiasektorin iskut (joulukuu 2025)

Koordinoituja iskuja kohdistettiin Puolan energiainfrastruktuuriin, mukaan lukien 30 tuuli- ja aurinkovoimalaa sekä yksi suuri kaukolämpö- ja sähkölaitos (CHP). Iskut kohdistettiin Venäjän valtion tukemaan Sandworm-kyberryhmään, ja niissä käytettiin tuhoamisohjelmia (wiper). Tämä oli ensimmäinen kyberisku Puolan energiasektoriin, jonka tavoite oli puhtaasti tuhoava .

Rinnakkainen, aiemmin paljastamaton isku kohdistui pienempään CHP-laitokseen, joka palvelee 50 000 asukasta. Hyökkääjät käyttivät uudenlaista yksityisen APN:n pivot-tekniikkaa (ensimmäinen dokumentoitu käyttö kyseisellä vektorilla), pääsivät käsiksi WAGO PLC -ohjaimeen, jota suojasi vain oletusarvoiset järjestelmänvalvojan tunnukset, ja sammuttivat höyryturbiinin ja vedenkäsittelyjärjestelmän. He tuhosivat myös verkkolaitteita ja hävittivät lokit vaikeuttaakseen palautusta .

Vedenkäsittelylaitosten murtot (2025)

Hakkerit murtautuivat vähintään viiteen puolalaiseen vedenkäsittelylaitokseen vuonna 2025, saaden pääsyn teollisuusohjausjärjestelmiin (ICS), jotka säätelevät pumppuja, suodattimia ja kemikaaliannostelua. Hyökkääjät muuttivat toimintaparametreja ja levittivät tallenteita sosiaalisessa mediassa .

Hyökkäysvektori oli joka tapauksessa mitä tavanomaisin: oletussalasanat ja suoraan internetiin kytketyt ohjausjärjestelmät . Puolan sisäinen turvallisuusvirasto (ABW) nosti virallisesti syytteet kahta Venäjän kansalaista vastaan kampanjasta, johon kuului 17 kyberiskua kriittiseen infrastruktuuriin, mukaan lukien seitsemän vesi- ja jätevedenkäsittelylaitosta .

Keskeinen johtopäätös

Kruczekin ja Szczurowskin löydökset osoittavat, että samat heikon tietoturvan mallit – elinkaarensa lopussa olevat ohjelmistot, ilmoituskanavien puute ja ilmoitusten sivuuttaminen – jotka jättivät Puolan julkisen verkkoinfrastruktuurin alttiiksi, heijastavat myös haavoittuvuuksia, joita hyödynnetään epäillyissä venäläisissä iskuissa Puolan energia- ja vesisektoreille. Heikot oletustunnukset, korjaamattomat järjestelmät ja suojaamattomat verkot olivat suoria hyökkäysvektoreita sekä verkkoinfrastruktuurin aukoissa että tuhoisissa OT-tason iskuissa voimalaitoksiin ja vedenkäsittelylaitoksiin.

Keskeiset haavoittuvuudet

Tutkijat tunnistivat useita kriittisiä haavoittuvuuksia:

• Pad CMS:n kriittiset puutteet – laajalti käytetty sisällönhallintajärjestelmä oli tullut tiensä päähän eikä sitä enää tuettu . Tutkijat pääsivät yli 300 julkiselle verkkosivustolle ilman salasanaa. Ohjelmistovalmistaja kieltäytyi korjaamasta haavoittuvuutta, koska ohjelmisto oli elinkaarensa lopussa eikä sitä enää päivitetty .

• Oikeuslaitoksen laajuinen kompromissi – toinen haavoittuvuus mahdollisti pääsyn verkkosivustoille, jotka kattavat noin kaksi kolmasosaa Puolan oikeuslaitoksesta eli noin 245 tuomioistuinta .

• Laajat, helposti hyödynnettävät viat – osan haavoittuvuuksista kerrottiin olevan "uskomattoman helppoja hyödyntää", mutta valmistajat eivät suhtautuneet niihin vakavasti ja kuitasivat ilmoitukset "pieninä haittoina" .

Kolme systeemistä epäonnistumista

Kruczek ja Szczurowski osoittivat kolme toisiinsa liittyvää ongelmaa, jotka mahdollistivat nämä riskit:

1. Elinkaarensa lopussa oleva, ilman tukea oleva ohjelmisto – Pad CMS ja muut korjaamattomat alustat olivat edelleen käytössä kriittisissä julkisissa palveluissa, vaikka valmistajan tuki oli jo päättynyt .

2. Bug Bounty -ohjelmien ja virallisten ilmoituskanavien puute – virallisten bugipalkkio-ohjelmien ja turvallisten tapojen puute ilmoittaa haavoittuvuuksista tarkoitti, ettei tutkijoilla ja eettisillä hakkereilla ollut selkeää väylää kertoa ongelmista .

3. Ilmoitusten sivuuttaminen – kun tutkijat ilmoittivat löydöksistä suoraan valmistajille, ilmoitukset sivuutettiin usein tai niitä kuvattiin pieniksi haitoiksi kriittisten tietoturvariskien sijaan .

Samat heikkoudet hyökkäysten kohteena kriittisessä infrastruktuurissa

Tutkimus esitettiin taustalla, jossa epäillyt Venäjän valtiolliset kyberiskut Puolan kriittiseen infrastruktuuriin ovat kiihtyneet. Kruczekin ja Szczurowskin löytämät haavoittuvuuskuviot ovat samoja, joita hyödynnetään aktiivisesti:

Energiasektorin iskut (joulukuu 2025)

Koordinoituja iskuja kohdistettiin Puolan energiainfrastruktuuriin, mukaan lukien 30 tuuli- ja aurinkovoimalaa sekä yksi suuri kaukolämpö- ja sähkölaitos (CHP). Iskut kohdistettiin Venäjän valtion tukemaan Sandworm-kyberryhmään, ja niissä käytettiin tuhoamisohjelmia (wiper). Tämä oli ensimmäinen kyberisku Puolan energiasektoriin, jonka tavoite oli puhtaasti tuhoava .

Rinnakkainen, aiemmin paljastamaton isku kohdistui pienempään CHP-laitokseen, joka palvelee 50 000 asukasta. Hyökkääjät käyttivät uudenlaista yksityisen APN:n pivot-tekniikkaa (ensimmäinen dokumentoitu käyttö kyseisellä vektorilla), pääsivät käsiksi WAGO PLC -ohjaimeen, jota suojasi vain oletusarvoiset järjestelmänvalvojan tunnukset, ja sammuttivat höyryturbiinin ja vedenkäsittelyjärjestelmän. He tuhosivat myös verkkolaitteita ja hävittivät lokit vaikeuttaakseen palautusta .

Vedenkäsittelylaitosten murtot (2025)

Hakkerit murtautuivat vähintään viiteen puolalaiseen vedenkäsittelylaitokseen vuonna 2025, saaden pääsyn teollisuusohjausjärjestelmiin (ICS), jotka säätelevät pumppuja, suodattimia ja kemikaaliannostelua. Hyökkääjät muuttivat toimintaparametreja ja levittivät tallenteita sosiaalisessa mediassa .

Hyökkäysvektori oli joka tapauksessa mitä tavanomaisin: oletussalasanat ja suoraan internetiin kytketyt ohjausjärjestelmät . Puolan sisäinen turvallisuusvirasto (ABW) nosti virallisesti syytteet kahta Venäjän kansalaista vastaan kampanjasta, johon kuului 17 kyberiskua kriittiseen infrastruktuuriin, mukaan lukien seitsemän vesi- ja jätevedenkäsittelylaitosta .

Keskeinen johtopäätös

Kruczekin ja Szczurowskin löydökset osoittavat, että samat heikon tietoturvan mallit – elinkaarensa lopussa olevat ohjelmistot, ilmoituskanavien puute ja ilmoitusten sivuuttaminen – jotka jättivät Puolan julkisen verkkoinfrastruktuurin alttiiksi, heijastavat myös haavoittuvuuksia, joita hyödynnetään epäillyissä venäläisissä iskuissa Puolan energia- ja vesisektoreille. Heikot oletustunnukset, korjaamattomat järjestelmät ja suojaamattomat verkot olivat suoria hyökkäysvektoreita sekä verkkoinfrastruktuurin aukoissa että tuhoisissa OT-tason iskuissa voimalaitoksiin ja vedenkäsittelylaitoksiin.