250 000 sites polonais vulnérables : la crise de cybersécurité dévoilée à DEF CON 2026

Trois défaillances systémiques

Kruczek et Szczurowski ont souligné trois échecs interdépendants ayant permis ces risques :

1. Logiciels en fin de vie non supportés — Pad CMS et d'autres plateformes non patchées continuaient d'être utilisés dans des services publics critiques, même après l'arrêt du support technique .

2. Absence de programme de bug bounty ou de canaux de signalement structurés — l'absence de programmes officiels de récompense pour les bugs et de moyens sécurisés de signaler les failles de sécurité a empêché les chercheurs et les hackers éthiques de divulguer les problèmes .

3. Signalements de bugs ignorés — lorsque les chercheurs signalaient directement leurs découvertes aux éditeurs, leurs rapports étaient souvent rejetés ou considérés comme des désagréments mineurs plutôt que des risques de sécurité critiques .

Les mêmes failles exploitées dans les infrastructures critiques

Ces recherches ont été présentées dans un contexte d'escalade des cyberattaques présumées d'origine russe contre les infrastructures critiques polonaises. Les schémas identifiés par Kruczek et Szczurowski dans l'infrastructure Web publique sont les mêmes faiblesses activement exploitées :

Attaques contre le secteur énergétique (décembre 2025)

Des attaques coordonnées ont ciblé les infrastructures énergétiques polonaises, notamment 30 installations éoliennes et solaires ainsi qu'une grande centrale de cogénération (CHP). Attribuées au groupe Sandworm, un APT parrainé par l'État russe, ces attaques ont utilisé un logiciel malveillant de type wiper. Il s'agit de la première cyberattaque contre le secteur énergétique polonais ayant un objectif purement destructeur .

Une attaque parallèle, jusque-là non divulguée, a touché une plus petite centrale CHP desservant 50 000 habitants. Les attaquants ont utilisé une technique inédite de pivot APN privé (première utilisation documentée de ce vecteur dans une attaque réelle), ont accédé à un automate WAGO protégé uniquement par des identifiants administrateur par défaut, et ont mis hors service une turbine à vapeur et un système de traitement des eaux. Ils ont ensuite saboté les équipements réseau et détruit les journaux pour entraver la reprise .

Intrusions dans les stations d'épuration (2025)

Des pirates ont pénétré au moins cinq stations d'épuration polonaises en 2025, accédant aux systèmes de contrôle industriels (ICS) qui régulent les pompes, les filtres et le dosage des produits chimiques. Les attaquants ont modifié les paramètres opérationnels et diffusé des enregistrements sur les réseaux sociaux .

Le vecteur d'attaque, dans chaque cas, était banal : des mots de passe par défaut et des systèmes de contrôle directement connectés à Internet . L'Agence de sécurité intérieure polonaise (ABW) a officiellement inculpé deux ressortissants russes pour une campagne de 17 cyberattaques ciblant des infrastructures critiques, dont sept stations d'épuration .

En résumé

Les découvertes de Kruczek et Szczurowski démontrent que les mêmes schémas de sécurité faible — logiciels en fin de vie, absence de mécanismes de signalement et signalements de bugs ignorés — qui ont exposé l'infrastructure Web publique polonaise sont également les vulnérabilités activement exploitées lors des attaques présumées russes contre les secteurs énergétique et hydraulique polonais. Des identifiants par défaut faibles, des systèmes non patchés et des réseaux non segmentés ont été des vecteurs d'attaque directs, tant dans les failles de l'infrastructure Web que dans les attaques destructrices de niveau OT contre les centrales électriques et les stations d'épuration.