Виявлені ключові вразливості

Дослідники ідентифікували кілька конкретних критичних недоліків:

• Критичні проблеми в Pad CMS — широко використовуваній системі керування контентом, яка досягла «кінця життєвого циклу» . Дослідники змогли отримати доступ до понад 300 державних сайтів без необхідності вводити пароль. Постачальник відмовився виправляти програмне забезпечення, оскільки воно більше не підтримувалося .

• Компрометація судової системи — інша помилка дозволила дослідникам отримати доступ до сайтів, що охоплюють близько двох третин польської судової влади, або приблизно 245 судів .

• Широко поширені легко експлуатовані баги — деякі вразливості описували як «неймовірно легкі для використання», але постачальники не сприймали їх серйозно, відкидаючи звіти про помилки як прості «незручності» .

Три системні провали

Кручек і Щуровський вказали на три взаємопов'язані провали, які сприяли цим ризикам:

1. Програмне забезпечення з завершеним терміном підтримки — Pad CMS та інші незахищені платформи продовжували працювати в критичних державних службах навіть після припинення підтримки постачальником .

2. Відсутність програм винагород (bug bounty) та структурованих каналів звітування — відсутність офіційних програм винагород і безпечних способів повідомлення про вразливості означала, що дослідники та етичні хакери не мали чіткого шляху для розкриття проблем .

3. Ігнорування звітів про помилки — коли дослідники безпосередньо повідомляли про знахідки постачальникам, їхні звіти часто ігнорувалися або описувалися як незначні незручності, а не критичні ризики безпеці .

Ті самі помилки експлуатуються в критичній інфраструктурі

Це дослідження було представлено на тлі ескалації ймовірних кібератак, спонсорованих російською державою, на критичну інфраструктуру Польщі. Моделі, виявлені Кручеком і Щуровським у публічній веб-інфраструктурі, є тими самими слабкими місцями, які активно використовуються:

Атаки на енергетичний сектор (грудень 2025)

Скоординовані атаки були спрямовані на енергетичну інфраструктуру Польщі, включаючи 30 вітрових і сонячних електростанцій та велику теплоелектроцентраль (ТЕЦ). Вони були приписані спонсорованій російською державою групі Sandworm і включали використання програм-знищувачів (wiper). Це була перша кібератака на енергетичний сектор Польщі з суто руйнівною метою .

Паралельна, раніше нерозголошена атака вразила меншу ТЕЦ, яка обслуговує 50 000 мешканців. Зловмисники використали новий метод приватної точки доступу APN (вперше задокументований у реальній атаці), отримали доступ до контролера WAGO PLC, захищеного лише стандартними обліковими даними адміністратора, і зупинили парову турбіну та систему водопідготовки. Потім вони саботували мережеві пристрої та знищили журнали реєстрації, щоб ускладнити відновлення .

Захоплення очисних споруд (2025)

Хакери зламали щонайменше п'ять польських очисних споруд у 2025 році, отримавши доступ до промислових систем керування (ICS), які регулюють насоси, фільтри та дозування хімікатів. Зловмисники змінювали робочі параметри та поширювали записи в соціальних мережах .

Вектор атаки в кожному випадку був банальним: стандартні паролі та системи керування, підключені безпосередньо до інтернету . Агентство внутрішньої безпеки Польщі (ABW) офіційно висунуло звинувачення двом громадянам Росії за кампанію з 17 кібератак на критичну інфраструктуру, включаючи сім очисних споруд водопостачання та водовідведення .

Головний висновок

Результати дослідження Кручека та Щуровського демонструють, що та сама модель слабкої безпеки — застаріле програмне забезпечення, відсутність механізмів звітування та ігнорування звітів про помилки — яка залишила публічну веб-інфраструктуру Польщі вразливою, також відображає вразливості, що активно експлуатуються в ймовірних російських атаках на енергетичний та водний сектори Польщі. Слабкі стандартні облікові дані, незахищені системи та несегментовані мережі були прямими векторами атак як у веб-інфраструктурі, так і в руйнівних атаках на рівні операційних технологій (OT) на електростанції та очисні споруди.

Виявлені ключові вразливості

Дослідники ідентифікували кілька конкретних критичних недоліків:

• Критичні проблеми в Pad CMS — широко використовуваній системі керування контентом, яка досягла «кінця життєвого циклу» . Дослідники змогли отримати доступ до понад 300 державних сайтів без необхідності вводити пароль. Постачальник відмовився виправляти програмне забезпечення, оскільки воно більше не підтримувалося .

• Компрометація судової системи — інша помилка дозволила дослідникам отримати доступ до сайтів, що охоплюють близько двох третин польської судової влади, або приблизно 245 судів .

• Широко поширені легко експлуатовані баги — деякі вразливості описували як «неймовірно легкі для використання», але постачальники не сприймали їх серйозно, відкидаючи звіти про помилки як прості «незручності» .

Три системні провали

Кручек і Щуровський вказали на три взаємопов'язані провали, які сприяли цим ризикам:

1. Програмне забезпечення з завершеним терміном підтримки — Pad CMS та інші незахищені платформи продовжували працювати в критичних державних службах навіть після припинення підтримки постачальником .

2. Відсутність програм винагород (bug bounty) та структурованих каналів звітування — відсутність офіційних програм винагород і безпечних способів повідомлення про вразливості означала, що дослідники та етичні хакери не мали чіткого шляху для розкриття проблем .

3. Ігнорування звітів про помилки — коли дослідники безпосередньо повідомляли про знахідки постачальникам, їхні звіти часто ігнорувалися або описувалися як незначні незручності, а не критичні ризики безпеці .

Ті самі помилки експлуатуються в критичній інфраструктурі

Це дослідження було представлено на тлі ескалації ймовірних кібератак, спонсорованих російською державою, на критичну інфраструктуру Польщі. Моделі, виявлені Кручеком і Щуровським у публічній веб-інфраструктурі, є тими самими слабкими місцями, які активно використовуються:

Атаки на енергетичний сектор (грудень 2025)

Скоординовані атаки були спрямовані на енергетичну інфраструктуру Польщі, включаючи 30 вітрових і сонячних електростанцій та велику теплоелектроцентраль (ТЕЦ). Вони були приписані спонсорованій російською державою групі Sandworm і включали використання програм-знищувачів (wiper). Це була перша кібератака на енергетичний сектор Польщі з суто руйнівною метою .

Паралельна, раніше нерозголошена атака вразила меншу ТЕЦ, яка обслуговує 50 000 мешканців. Зловмисники використали новий метод приватної точки доступу APN (вперше задокументований у реальній атаці), отримали доступ до контролера WAGO PLC, захищеного лише стандартними обліковими даними адміністратора, і зупинили парову турбіну та систему водопідготовки. Потім вони саботували мережеві пристрої та знищили журнали реєстрації, щоб ускладнити відновлення .

Захоплення очисних споруд (2025)

Хакери зламали щонайменше п'ять польських очисних споруд у 2025 році, отримавши доступ до промислових систем керування (ICS), які регулюють насоси, фільтри та дозування хімікатів. Зловмисники змінювали робочі параметри та поширювали записи в соціальних мережах .

Вектор атаки в кожному випадку був банальним: стандартні паролі та системи керування, підключені безпосередньо до інтернету . Агентство внутрішньої безпеки Польщі (ABW) офіційно висунуло звинувачення двом громадянам Росії за кампанію з 17 кібератак на критичну інфраструктуру, включаючи сім очисних споруд водопостачання та водовідведення .

Головний висновок

Результати дослідження Кручека та Щуровського демонструють, що та сама модель слабкої безпеки — застаріле програмне забезпечення, відсутність механізмів звітування та ігнорування звітів про помилки — яка залишила публічну веб-інфраструктуру Польщі вразливою, також відображає вразливості, що активно експлуатуються в ймовірних російських атаках на енергетичний та водний сектори Польщі. Слабкі стандартні облікові дані, незахищені системи та несегментовані мережі були прямими векторами атак як у веб-інфраструктурі, так і в руйнівних атаках на рівні операційних технологій (OT) на електростанції та очисні споруди.