核心漏洞

研究人员发现了数个特定的严重漏洞：

• Pad CMS中的严重缺陷——这是一个已到达“生命周期终止”阶段、被广泛使用的内容管理系统 。研究人员无需密码即可访问超过300个公共网站。由于该软件已不再受支持，供应商拒绝修补漏洞 。

• 司法系统全面沦陷——另一个漏洞使研究人员能够访问覆盖波兰约 三分之二司法系统 的网站，涉及大约 245个法院 。

• 大规模易利用的漏洞——某些缺陷被描述为“极易利用”，但供应商并未认真对待，他们将漏洞报告斥为“小麻烦”而置之不理 。

三大系统性失败

Kruczek与Szczurowski指出了三个相互关联的失败因素，正是这些因素导致了风险：

1. 已终止支持的生命周期软件——即使供应商支持已经结束，Pad CMS和其他未修补的平台仍继续在关键公共服务中运行 。

2. 缺乏漏洞赏金或结构化报告渠道——没有官方的漏洞赏金计划和安全报告漏洞的方式，使得研究人员和道德黑客没有明确的途径来披露问题 。

3. 被忽视的漏洞报告——当研究人员直接向供应商报告发现时，他们的报告经常被忽视，或被描述为轻微不便而非严重安全风险 。

相同漏洞正在关键基础设施中被利用

这项研究的发布背景，是疑似俄罗斯国家支持的网络攻击针对波兰关键基础设施的持续升级。Kruczek与Szczurowski在公共网络基础设施中发现的模式，正是那些正在被积极武器化的弱点：

能源部门攻击（2025年12月）

协同攻击瞄准了波兰的能源基础设施，包括30个风能和太阳能发电站以及一个大型热电联产厂。这些攻击被归咎于俄罗斯国家支持的 Sandworm APT组织，并使用了擦除恶意软件。这是波兰能源部门首次遭受以纯粹破坏为目标的网络攻击 。

另一起此前未被披露的攻击，击中了一家为5万居民提供服务的小型热电联产厂。攻击者利用了一种 新颖的私有APN枢轴技术（这是该攻击向量首次在实际攻击中被记录），入侵了一台仅受 默认管理员密码 保护的WAGO PLC，并关闭了蒸汽轮机和水处理系统。随后他们破坏了网络设备并销毁了日志以阻碍恢复 。

水处理厂入侵（2025年）

2025年，黑客突破了至少五家波兰水处理厂，获取了调节水泵、过滤器和化学药剂投加的工业控制系统（ICS）访问权限。攻击者篡改了操作参数，并在社交媒体上传播相关录像 。

在所有案例中，攻击向量都平淡无奇：默认密码以及直接联网的控制系统 。波兰国内安全局（ABW）正式指控两名俄罗斯国民策划了一场包含17次网络攻击的行动，目标直指关键基础设施，其中包括七家水处理和废水处理厂 。

核心要点

Kruczek与Szczurowski的发现表明，相同的脆弱安全模式——过时软件、缺乏报告机制以及被忽视的漏洞报告——不仅使波兰的公共网络基础设施暴露在风险之下，也正反映了在疑似俄罗斯对波兰能源和水务部门的攻击中被积极利用的漏洞。脆弱的默认凭证、未打补丁的系统以及缺乏网络隔离，既是网络基础设施漏洞的直接攻击途径，也是针对发电厂和水处理设施的破坏性OT级攻击的直接手段。

核心漏洞

研究人员发现了数个特定的严重漏洞：

• Pad CMS中的严重缺陷——这是一个已到达“生命周期终止”阶段、被广泛使用的内容管理系统 。研究人员无需密码即可访问超过300个公共网站。由于该软件已不再受支持，供应商拒绝修补漏洞 。

• 司法系统全面沦陷——另一个漏洞使研究人员能够访问覆盖波兰约 三分之二司法系统 的网站，涉及大约 245个法院 。

• 大规模易利用的漏洞——某些缺陷被描述为“极易利用”，但供应商并未认真对待，他们将漏洞报告斥为“小麻烦”而置之不理 。

三大系统性失败

Kruczek与Szczurowski指出了三个相互关联的失败因素，正是这些因素导致了风险：

1. 已终止支持的生命周期软件——即使供应商支持已经结束，Pad CMS和其他未修补的平台仍继续在关键公共服务中运行 。

2. 缺乏漏洞赏金或结构化报告渠道——没有官方的漏洞赏金计划和安全报告漏洞的方式，使得研究人员和道德黑客没有明确的途径来披露问题 。

3. 被忽视的漏洞报告——当研究人员直接向供应商报告发现时，他们的报告经常被忽视，或被描述为轻微不便而非严重安全风险 。

相同漏洞正在关键基础设施中被利用

这项研究的发布背景，是疑似俄罗斯国家支持的网络攻击针对波兰关键基础设施的持续升级。Kruczek与Szczurowski在公共网络基础设施中发现的模式，正是那些正在被积极武器化的弱点：

能源部门攻击（2025年12月）

协同攻击瞄准了波兰的能源基础设施，包括30个风能和太阳能发电站以及一个大型热电联产厂。这些攻击被归咎于俄罗斯国家支持的 Sandworm APT组织，并使用了擦除恶意软件。这是波兰能源部门首次遭受以纯粹破坏为目标的网络攻击 。

另一起此前未被披露的攻击，击中了一家为5万居民提供服务的小型热电联产厂。攻击者利用了一种 新颖的私有APN枢轴技术（这是该攻击向量首次在实际攻击中被记录），入侵了一台仅受 默认管理员密码 保护的WAGO PLC，并关闭了蒸汽轮机和水处理系统。随后他们破坏了网络设备并销毁了日志以阻碍恢复 。

水处理厂入侵（2025年）

2025年，黑客突破了至少五家波兰水处理厂，获取了调节水泵、过滤器和化学药剂投加的工业控制系统（ICS）访问权限。攻击者篡改了操作参数，并在社交媒体上传播相关录像 。

在所有案例中，攻击向量都平淡无奇：默认密码以及直接联网的控制系统 。波兰国内安全局（ABW）正式指控两名俄罗斯国民策划了一场包含17次网络攻击的行动，目标直指关键基础设施，其中包括七家水处理和废水处理厂 。

核心要点

Kruczek与Szczurowski的发现表明，相同的脆弱安全模式——过时软件、缺乏报告机制以及被忽视的漏洞报告——不仅使波兰的公共网络基础设施暴露在风险之下，也正反映了在疑似俄罗斯对波兰能源和水务部门的攻击中被积极利用的漏洞。脆弱的默认凭证、未打补丁的系统以及缺乏网络隔离，既是网络基础设施漏洞的直接攻击途径，也是针对发电厂和水处理设施的破坏性OT级攻击的直接手段。