250 000 polska webbplatser sårbara – domstolar, sjukhus och flygplatser exponerade

Tre systemfel

Kruczek och Szczurowski pekade på tre sammanlänkade brister som möjliggjort riskerna:

1. Uttjänt programvara utan support – Pad CMS och andra opatchade plattformar fortsatte att användas inom kritisk offentlig service långt efter att leverantörernas support upphört .

2. Inga bugg-belöningsprogram eller strukturerade rapporteringskanaler – avsaknaden av formella program för att belöna etiska hackare och säkra sätt att rapportera brister innebar att forskare inte hade någon tydlig väg att anmäla problemen .

3. Avfärdade sårbarhetsrapporter – när forskare faktiskt rapporterade fynden direkt till leverantörerna avfärdades de ofta som mindre olägenheter i stället för kritiska säkerhetsrisker .

Samma brister utnyttjas i kritisk infrastruktur

Forskningen presenterades mot bakgrund av en eskalerande våg av misstänkta ryska statsstödda cyberattacker mot Polens kritiska infrastruktur. De mönster som Kruczek och Szczurowski fann i den offentliga webbinfrastrukturen är samma svagheter som aktivt används i pågående angrepp:

Attacker mot energisektorn (december 2025)

Koordinerade attacker riktades mot Polens energiinfrastruktur, inklusive 30 vind- och solkraftsanläggningar och ett stort kraftvärmeverk (CHP). Attackerna tillskrevs den ryska statsstödda APT-gruppen Sandworm och involverade wiper-malware. Detta var den första cyberattacken mot Polens energisektor med ett rent destruktivt syfte .

En parallell, tidigare okänd attack träffade ett mindre kraftvärmeverk som försörjer 50 000 invånare. Angriparna använde en ny privat APN-teknik (första dokumenterade användningen av denna angreppsvektor i en verklig attack), fick åtkomst till en WAGO PLC som endast skyddades av standardinloggning, och stängde ned en ångturbin samt vattenreningssystemet. De saboterade sedan nätverksenheter och raderade loggar för att försvåra återställning .

Intrång i vattenreningsverk (2025)

Hackare bröt sig in i minst fem polska vattenreningsverk under 2025 och fick åtkomst till industriella styrsystem (ICS) som reglerar pumpar, filter och kemikaliedosering. Angriparna ändrade driftparametrar och spred inspelningar på sociala medier .

Angreppsvektorn var, i samtliga fall, anmärkningsvärt enkel: standardlösenord och styrsystem direkt anslutna till internet . Polens inrikes säkerhetstjänst (ABW) väckte formellt åtal mot två ryska medborgare för en kampanj av 17 cyberattacker mot kritisk infrastruktur, däribland sju vatten- och avloppsreningsverk .

Slutsats

Kruczek och Szczurowskis fynd visar att samma mönster av svag säkerhet – uttjänt programvara, inga rapporteringsmekanismer och avfärdade buggrapporter – som lämnade Polens offentliga webbinfrastruktur exponerad också speglar de sårbarheter som aktivt utnyttjas i misstänkta ryska attacker mot Polens energi- och vattensektorer. Svaga standardlösenord, opatchade system och osegmenterade nätverk var direkta angreppsvektorer både i bristerna i webbinfrastrukturen och i de destruktiva OT-attackerna mot kraftverk och vattenreningsanläggningar.