250 000 polske nettsteder i fare: Sikkerhetskrisen avslørt på DEF CON 2026

Tre systemiske svikt

Kruczek og Szczurowski pekte på tre sammenvevde feil som muliggjorde risikoen:

1. Utdatert, ustøttet programvare – Pad CMS og andre usikrede plattformer fortsatte å kjøre i kritiske offentlige tjenester lenge etter at leverandørstøtten opphørte .

2. Ingen bug bounty eller strukturerte rapporteringskanaler – mangelen på offisielle belønningsprogrammer og sikre måter å rapportere sikkerhetsfeil på gjorde at forskere og etiske hackere ikke hadde noen klar vei for å melde fra om problemene .

3. Avfeide feilrapporter – når forskere rapporterte funn direkte til leverandører, ble rapportene ofte ignorert eller omtalt som bagateller .

De samme mønstrene utnyttes i kritisk infrastruktur

Forskningen ble lagt frem mot et bakteppe av eskalering i mistenkte russiskstøttede cyberangrep mot Polens kritiske infrastruktur. Mønstrene Kruczek og Szczurowski fant i offentlige nettsteder, er de samme svakhetene som blir aktivt utnyttet:

Angrep på energisektoren (desember 2025)

Koordinerte angrep rammet Polens energiinfrastruktur, inkludert 30 vind- og solkraftanlegg og et stort kombinert varme- og kraftverk (CHP). Angrepene ble knyttet til den russiskstøttede Sandworm-gruppen og involverte slettetrojanere (wiper). Dette var det første cyberangrepet mot Polens energisektor med rent destruktivt formål .

Et parallelt, tidligere ikke offentliggjort angrep rammet et mindre CHP-anlegg som forsyner 50 000 innbyggere. Angriperne brukte en ny privat APN-pivot-teknikk (første dokumenterte bruk av denne vektoren i et reelt angrep), fikk tilgang til en WAGO PLS som kun var beskyttet med standardinnloggingsdetaljer, og stanset en dampturbin og vannbehandlingssystemet. Deretter saboterte de nettverksenheter og slettet logger for å hindre gjenoppretting .

Inntrengninger i vannrenseanlegg (2025)

Hackere brøt seg inn i minst fem polske vannrenseanlegg i 2025, og fikk tilgang til industrielle kontrollsystemer (ICS) som styrer pumper, filtre og kjemikaliedosering. Angriperne endret driftsparametere og delte opptak på sosiale medier .

Angrepsvektoren var i alle tilfeller oppsiktsvekkende enkel: standardpassord og kontrollsystemer koblet direkte til internett . Polens sikkerhetstjeneste (ABW) har formelt siktet to russiske statsborgere for en kampanje med 17 cyberangrep mot kritisk infrastruktur, inkludert syv vann- og avløpsanlegg .

Hovedbudskap

Kruczek og Szczurowskis funn viser at de samme sikkerhetssvakhetene – utdatert programvare, manglende rapporteringsmekanismer og avfeide feilrapporter – som gjorde Polens offentlige nettinfrastruktur sårbar, også speiler sårbarhetene som blir aktivt utnyttet i mistenkte russiske angrep på Polens energi- og vannsektorer. Svake standardpassord, usikrede systemer og usegmenterte nettverk var direkte angrepsvektorer både i sårbarhetene i nettinfrastrukturen og i de destruktive angrepene på kraftverk og vannrenseanlegg.