發現嘅核心漏洞

研究員識別出幾個特定嘅嚴重漏洞：

• Pad CMS嘅致命漏洞——Pad CMS係一個廣泛用嘅內容管理系統，但已經達到「終止支援」（end of life）嘅狀態 。研究員可以唔使密碼就進入超過300個公共網站。供應商因為軟件已經唔再支援，拒絕修補漏洞 。

• 司法系統大規模淪陷——另一個漏洞令研究員能夠進入大約 波蘭三分之二嘅司法機構 網站，即係大約 245個法院 。

• 廣泛存在嘅極易利用漏洞——有啲漏洞被形容為「容易到令人難以置信」，但供應商完全唔認真對待，將研究員嘅報告當作只係「少少唔方便」 。

三個系統性失敗

Kruczek同Szczurowski指出三個互相關聯嘅失敗因素，令到呢啲風險出現：

1. 繼續用已終止支援嘅軟件——Pad CMS同其他冇人再維護嘅平台，仍然喺關鍵公共服務上運行 。

2. 冇漏洞賞金計劃或正式通報渠道——缺乏正式嘅漏洞賞金計劃（bug bounty program）同安全報告渠道，令研究員同白帽黑客冇清晰嘅途徑去通報問題 。

3. 研究報告被當冇到——當研究員直接向供應商報告發現嘅問題時，啲報告成日被忽視，或者被話成只係小問題，而唔係嚴重嘅安全風險 。

同一漏洞正喺關鍵基建被利用

呢次研究公布嘅背景，係懷疑由俄羅斯國家支持嘅黑客對波蘭關鍵基建嘅攻擊持續升級。Kruczek同Szczurowski喺公共網絡基建發現嘅漏洞模式，正正就係被積極武器化嘅弱點：

能源領域攻擊（2025年12月）

協調攻擊 targeting 波蘭能源基建，包括30個風力同太陽能發電設施，以及一個大型熱電聯產廠。攻擊被歸因於俄羅斯國家支持嘅 Sandworm APT組織，使用咗清除式惡意軟件（wiper malware）。呢次係波蘭能源領域首次以純破壞為目的嘅網絡攻擊 。

另一宗之前未被公開嘅攻擊，影響咗一個為5萬居民供電嘅較細熱電聯產廠。黑客使用咗一種 新穎嘅私人APN跳板技術（首次喺真實攻擊中記錄到呢種手法），登入咗一個只靠 默認管理員密碼 保護嘅WAGO PLC，然後關閉咗一個蒸汽輪機同水處理系統。佢哋仲破壞網絡設備同刪除日誌，增加復原難度 。

水務處理廠入侵（2025年）

2025年，黑客至少入侵咗五間波蘭水務處理廠，取得控制工業控制系統（ICS）嘅權限，呢啲系統負責調節水泵、過濾器同化學劑量。黑客更改咗操作參數，並將錄影放上社交媒體 。

每一次攻擊嘅途徑都冇乜特別：默認密碼同直接連上互聯網嘅控制系統 。波蘭內部安全局（ABW）正式起訴兩名俄羅斯國民，指佢哋發動咗一連串17次針對關鍵基建嘅網絡攻擊，其中包括7間水務同污水處理廠 。

關鍵總結

Kruczek同Szczurowski嘅發現顯示，同一種保安薄弱模式——用已終止支援嘅軟件、冇通報機制、研究報告被忽視——令波蘭公共網絡基建暴露喺風險之中，亦正正係懷疑由俄羅斯發動、針對波蘭能源同水務領域嘅攻擊所利用嘅漏洞。弱嘅默認密碼、冇更新嘅系統同冇分隔嘅網絡，係公共網絡基建漏洞同破壞性OT級別攻擊（針對發電廠同水務設施）嘅直接攻擊途徑。

發現嘅核心漏洞

研究員識別出幾個特定嘅嚴重漏洞：

• Pad CMS嘅致命漏洞——Pad CMS係一個廣泛用嘅內容管理系統，但已經達到「終止支援」（end of life）嘅狀態 。研究員可以唔使密碼就進入超過300個公共網站。供應商因為軟件已經唔再支援，拒絕修補漏洞 。

• 司法系統大規模淪陷——另一個漏洞令研究員能夠進入大約 波蘭三分之二嘅司法機構 網站，即係大約 245個法院 。

• 廣泛存在嘅極易利用漏洞——有啲漏洞被形容為「容易到令人難以置信」，但供應商完全唔認真對待，將研究員嘅報告當作只係「少少唔方便」 。

三個系統性失敗

Kruczek同Szczurowski指出三個互相關聯嘅失敗因素，令到呢啲風險出現：

1. 繼續用已終止支援嘅軟件——Pad CMS同其他冇人再維護嘅平台，仍然喺關鍵公共服務上運行 。

2. 冇漏洞賞金計劃或正式通報渠道——缺乏正式嘅漏洞賞金計劃（bug bounty program）同安全報告渠道，令研究員同白帽黑客冇清晰嘅途徑去通報問題 。

3. 研究報告被當冇到——當研究員直接向供應商報告發現嘅問題時，啲報告成日被忽視，或者被話成只係小問題，而唔係嚴重嘅安全風險 。

同一漏洞正喺關鍵基建被利用

呢次研究公布嘅背景，係懷疑由俄羅斯國家支持嘅黑客對波蘭關鍵基建嘅攻擊持續升級。Kruczek同Szczurowski喺公共網絡基建發現嘅漏洞模式，正正就係被積極武器化嘅弱點：

能源領域攻擊（2025年12月）

協調攻擊 targeting 波蘭能源基建，包括30個風力同太陽能發電設施，以及一個大型熱電聯產廠。攻擊被歸因於俄羅斯國家支持嘅 Sandworm APT組織，使用咗清除式惡意軟件（wiper malware）。呢次係波蘭能源領域首次以純破壞為目的嘅網絡攻擊 。

另一宗之前未被公開嘅攻擊，影響咗一個為5萬居民供電嘅較細熱電聯產廠。黑客使用咗一種 新穎嘅私人APN跳板技術（首次喺真實攻擊中記錄到呢種手法），登入咗一個只靠 默認管理員密碼 保護嘅WAGO PLC，然後關閉咗一個蒸汽輪機同水處理系統。佢哋仲破壞網絡設備同刪除日誌，增加復原難度 。

水務處理廠入侵（2025年）

2025年，黑客至少入侵咗五間波蘭水務處理廠，取得控制工業控制系統（ICS）嘅權限，呢啲系統負責調節水泵、過濾器同化學劑量。黑客更改咗操作參數，並將錄影放上社交媒體 。

每一次攻擊嘅途徑都冇乜特別：默認密碼同直接連上互聯網嘅控制系統 。波蘭內部安全局（ABW）正式起訴兩名俄羅斯國民，指佢哋發動咗一連串17次針對關鍵基建嘅網絡攻擊，其中包括7間水務同污水處理廠 。

關鍵總結

Kruczek同Szczurowski嘅發現顯示，同一種保安薄弱模式——用已終止支援嘅軟件、冇通報機制、研究報告被忽視——令波蘭公共網絡基建暴露喺風險之中，亦正正係懷疑由俄羅斯發動、針對波蘭能源同水務領域嘅攻擊所利用嘅漏洞。弱嘅默認密碼、冇更新嘅系統同冇分隔嘅網絡，係公共網絡基建漏洞同破壞性OT級別攻擊（針對發電廠同水務設施）嘅直接攻擊途徑。