Polonya’da 250.000 Web Sitesi Risk Altında: DEF CON 2026’da Açıklanan Güvenlik Krizi

Üç Sistemik Başarısızlık

Kruczek ve Szczurowski, bu risklere yol açan üç iç içe geçmiş başarısızlığa işaret etti:

1. Kullanım ömrü dolmuş, desteklenmeyen yazılımlar — Pad CMS ve diğer güncellenmemiş platformlar, satıcı desteği sona erdikten sonra bile kritik kamu hizmetlerinde çalışmaya devam etti .

2. Hata ödül programı veya yapılandırılmış raporlama kanallarının olmaması — Resmi hata ödül programlarının ve güvenlik açıklarını bildirmek için güvenli yolların bulunmaması, araştırmacıların ve etik hacker'ların sorunları açıklamak için net bir yol izleyememesi anlamına geliyordu .

3. Göz ardı edilen hata raporları — Araştırmacılar bulgularını doğrudan satıcılara bildirdiklerinde, raporları sık sık dikkate alınmadı veya kritik güvenlik riskleri yerine "küçük aksaklıklar" olarak nitelendirildi .

Aynı Açıklar Kritik Altyapıda da İstismar Ediliyor

Bu araştırma, Polonya'nın kritik altyapısına yönelik olduğundan şüphelenilen Rusya destekli siber saldırıların tırmandığı bir arka planda sunuldu. Kruczek ve Szczurowski'nin kamu web altyapısında bulduğu kalıplar, aktif olarak silah haline getirilen aynı zayıflıklardı:

Enerji Sektörü Saldırıları (Aralık 2025)

Koordineli saldırılar, 30 rüzgar ve güneş enerjisi santrali ile büyük bir kombine ısı ve güç (CHP) tesisi dahil olmak üzere Polonya'nın enerji altyapısını hedef aldı. Bu saldırılar, Rusya devlet destekli Sandworm APT grubuna atfedildi ve wiper (silici) kötü amaçlı yazılımı kullanıldı. Bu, Polonya'nın enerji sektörüne yönelik tamamen yıkıcı bir hedefi olan ilk siber saldırıydı .

Paralel olarak, daha önce kamuoyuna açıklanmayan bir saldırı, 50.000 kişiye hizmet veren daha küçük bir CHP tesisini vurdu. Saldırganlar yeni bir özel APN pivot tekniği (bu vektörün gerçek dünyadaki bir saldırıda ilk belgelenen kullanımı) kullandı, yalnızca varsayılan yönetici kimlik bilgileri ile korunan bir WAGO PLC'ye erişti, bir buhar türbinini ve su arıtma sistemini kapattı. Ardından ağ cihazlarını sabote ettiler ve kurtarmayı engellemek için günlükleri imha ettiler .

Su Arıtma Tesisi İhlalleri (2025)

Bilgisayar korsanları 2025 yılında Polonya'daki en az beş su arıtma tesisine sızdı ve pompaları, filtreleri ve kimyasal dozajlamayı düzenleyen endüstriyel kontrol sistemlerine (ICS) erişim sağladı. Saldırganlar operasyonel parametreleri değiştirdi ve kayıtları sosyal medyada yaydı .

Her vakada saldırı vektörü sıradandı: Varsayılan şifreler ve doğrudan internete bağlı kontrol sistemleri . Polonya İç Güvenlik Ajansı (ABW), kritik altyapıyı hedef alan ve yedi su ve atık su arıtma tesisi olmak üzere 17 siber saldırıdan oluşan bir kampanya için iki Rus vatandaşını resmen suçladı .

Önemli Çıkarım

Kruczek ve Szczurowski'nin bulguları, Polonya'nın kamu web altyapısını riske atan aynı zayıf güvenlik modelinin — kullanım ömrü dolmuş yazılımlar, raporlama mekanizmalarının olmaması ve göz ardı edilen hata raporları — Polonya'nın enerji ve su sektörlerine yönelik şüphelenilen Rus saldırılarında aktif olarak istismar edilen güvenlik açıklarını yansıttığını gösteriyor. Zayıf varsayılan kimlik bilgileri, güncellenmemiş sistemler ve ayrıştırılmamış ağlar, hem web altyapısındaki kusurlar hem de enerji santralleri ve su arıtma tesislerine yönelik yıkıcı OT düzeyindeki saldırılar için doğrudan saldırı vektörleriydi.