発見された中核的な脆弱性

研究者らは、いくつかの重大な脆弱性を特定しました。

• Pad CMS の致命的な欠陥 — 広く使われていたコンテンツ管理システム（CMS）で、すでに「サポート終了（End of Life）」状態でした 。研究者らは、パスワードなしで300以上の公共ウェブサイトにアクセスできました。ベンダーはソフトウェアがサポート終了であることを理由にパッチの提供を拒否しました 。

• 司法機関全体に及ぶ侵害 — 別のバグにより、研究者らはポーランドの司法機関の約3分の2、すなわち約245の裁判所のウェブサイトにアクセスできました 。

• 悪用が極めて容易な広範なバグ — 中には「信じられないほど簡単に悪用できる」と評される欠陥もありましたが、ベンダーは深刻に受け止めず、報告を単なる「不便」として却下しました 。

3つのシステム障害

Kruczek 氏と Szczurowski 氏は、これらのリスクを生み出した3つの相互に関連する障害を指摘しました。

1. サポート終了のソフトウェアの放置 — Pad CMS をはじめとするパッチ未適用のプラットフォームが、ベンダーサポート終了後も重要な公共サービス上で稼働し続けていました 。

2. バグ報奨金制度や構造化された報告チャネルの欠如 — 公式のバグ報奨金プログラムやセキュリティ脆弱性を報告するための安全な手段がなかったため、研究者や倫理的ハッカーが問題を開示する明確な経路を持っていませんでした 。

3. 軽視されたバグ報告 — 研究者がベンダーに直接調査結果を報告しても、重大なセキュリティリスクとして扱われず、些細な不便として片付けられることが頻繁にありました 。

同じ脆弱性が重要インフラで悪用されている

この研究が発表された背景には、ロシアの国家支援を受けたとみられるポーランドの重要インフラへのサイバー攻撃がエスカレートしている現実があります。Kruczek 氏と Szczurowski 氏が公共ウェブインフラで見つけた脆弱性パターンは、実際に武器化されている弱点と全く同じものです。

エネルギー部門への攻撃（2025年12月）

調整された攻撃がポーランドのエネルギーインフラを標的にしました。対象には30カ所の風力・太陽光発電施設と大規模な熱電併給（CHP）プラントが含まれます。この攻撃はロシアの国家支援を受けたAPTグループ Sandworm の仕業とされ、ワイパーマルウェアが使用されました。ポーランドのエネルギー部門へのサイバー攻撃としては、純粋に破壊を目的とした初めての事例です 。

また、並行して行われた別の、これまで未公開だった攻撃では、5万人に電力を供給する小規模なCHPプラントが標的になりました。攻撃者は新たなプライベートAPNピボット技術（実戦でこの手法が確認されたのは初めて）を使用し、初期設定の管理者認証情報のみで保護されたWAGO PLCにアクセス。蒸気タービンと水処理システムを停止させ、さらにネットワーク機器を破壊しログを消去して復旧を妨害しました 。

浄水場への侵入（2025年）

2025年、ハッカーはポーランドの少なくとも5カ所の浄水場に侵入し、ポンプ、フィルター、薬品注入を制御する産業用制御システム（ICS）へのアクセスを獲得しました。攻撃者は運転パラメータを変更し、その様子を録画してソーシャルメディアに公開しました 。

その攻撃経路は、いずれのケースも驚くほど単純なものでした。初期設定のパスワードと、インターネットに直接接続された制御システムでした 。ポーランド国内治安機関（ABW）は、重要インフラを標的とした17件のサイバー攻撃キャンペーンに関与したとして、ロシア人2名を正式に起訴しました。この中には7カ所の上下水道処理プラントが含まれています 。

重要な教訓

Kruczek 氏と Szczurowski 氏の調査結果は、ポーランドの公共ウェブインフラを危険にさらした同じ脆弱性パターン（サポート終了ソフトウェア、報告メカニズムの欠如、軽視されたバグ報告）が、ロシアの関与が疑われるエネルギー・水道部門への攻撃で積極的に悪用されている脆弱性をそのまま反映していることを示しています。弱い初期設定認証情報、未パッチのシステム、セグメント化されていないネットワークは、ウェブインフラの欠陥と、発電所や浄水場への破壊的なOTレベルの攻撃の両方において、直接的な攻撃ベクトルとなっていました。

発見された中核的な脆弱性

研究者らは、いくつかの重大な脆弱性を特定しました。

• Pad CMS の致命的な欠陥 — 広く使われていたコンテンツ管理システム（CMS）で、すでに「サポート終了（End of Life）」状態でした 。研究者らは、パスワードなしで300以上の公共ウェブサイトにアクセスできました。ベンダーはソフトウェアがサポート終了であることを理由にパッチの提供を拒否しました 。

• 司法機関全体に及ぶ侵害 — 別のバグにより、研究者らはポーランドの司法機関の約3分の2、すなわち約245の裁判所のウェブサイトにアクセスできました 。

• 悪用が極めて容易な広範なバグ — 中には「信じられないほど簡単に悪用できる」と評される欠陥もありましたが、ベンダーは深刻に受け止めず、報告を単なる「不便」として却下しました 。

3つのシステム障害

Kruczek 氏と Szczurowski 氏は、これらのリスクを生み出した3つの相互に関連する障害を指摘しました。

1. サポート終了のソフトウェアの放置 — Pad CMS をはじめとするパッチ未適用のプラットフォームが、ベンダーサポート終了後も重要な公共サービス上で稼働し続けていました 。

2. バグ報奨金制度や構造化された報告チャネルの欠如 — 公式のバグ報奨金プログラムやセキュリティ脆弱性を報告するための安全な手段がなかったため、研究者や倫理的ハッカーが問題を開示する明確な経路を持っていませんでした 。

3. 軽視されたバグ報告 — 研究者がベンダーに直接調査結果を報告しても、重大なセキュリティリスクとして扱われず、些細な不便として片付けられることが頻繁にありました 。

同じ脆弱性が重要インフラで悪用されている

この研究が発表された背景には、ロシアの国家支援を受けたとみられるポーランドの重要インフラへのサイバー攻撃がエスカレートしている現実があります。Kruczek 氏と Szczurowski 氏が公共ウェブインフラで見つけた脆弱性パターンは、実際に武器化されている弱点と全く同じものです。

エネルギー部門への攻撃（2025年12月）

調整された攻撃がポーランドのエネルギーインフラを標的にしました。対象には30カ所の風力・太陽光発電施設と大規模な熱電併給（CHP）プラントが含まれます。この攻撃はロシアの国家支援を受けたAPTグループ Sandworm の仕業とされ、ワイパーマルウェアが使用されました。ポーランドのエネルギー部門へのサイバー攻撃としては、純粋に破壊を目的とした初めての事例です 。

また、並行して行われた別の、これまで未公開だった攻撃では、5万人に電力を供給する小規模なCHPプラントが標的になりました。攻撃者は新たなプライベートAPNピボット技術（実戦でこの手法が確認されたのは初めて）を使用し、初期設定の管理者認証情報のみで保護されたWAGO PLCにアクセス。蒸気タービンと水処理システムを停止させ、さらにネットワーク機器を破壊しログを消去して復旧を妨害しました 。

浄水場への侵入（2025年）

2025年、ハッカーはポーランドの少なくとも5カ所の浄水場に侵入し、ポンプ、フィルター、薬品注入を制御する産業用制御システム（ICS）へのアクセスを獲得しました。攻撃者は運転パラメータを変更し、その様子を録画してソーシャルメディアに公開しました 。

その攻撃経路は、いずれのケースも驚くほど単純なものでした。初期設定のパスワードと、インターネットに直接接続された制御システムでした 。ポーランド国内治安機関（ABW）は、重要インフラを標的とした17件のサイバー攻撃キャンペーンに関与したとして、ロシア人2名を正式に起訴しました。この中には7カ所の上下水道処理プラントが含まれています 。

重要な教訓

Kruczek 氏と Szczurowski 氏の調査結果は、ポーランドの公共ウェブインフラを危険にさらした同じ脆弱性パターン（サポート終了ソフトウェア、報告メカニズムの欠如、軽視されたバグ報告）が、ロシアの関与が疑われるエネルギー・水道部門への攻撃で積極的に悪用されている脆弱性をそのまま反映していることを示しています。弱い初期設定認証情報、未パッチのシステム、セグメント化されていないネットワークは、ウェブインフラの欠陥と、発電所や浄水場への破壊的なOTレベルの攻撃の両方において、直接的な攻撃ベクトルとなっていました。