研究人员在波兰发现超过10,000个脆弱公共实体

两名波兰安全研究人员扫描了他们国家的公共网络，发现超过10,000个脆弱实体，包括机场、医院和法院。他们在Def Con会议上展示了他们的发现，并揭示了Pad CMS系统中的关键漏洞，使波兰面临潜在的网络攻击。

• 他们发现波兰有250,000个存在安全漏洞的网站，影响超过10,000个公共实体。
• 不再支持的Pad CMS内容管理系统允许无密码访问超过300个政府网站。
• 研究人员在波兰司法系统的66%中发现了漏洞，包括245个法院。

两名波兰安全研究人员罗伯特·克鲁切克（Robert Kruczek）和卡米尔·斯丘罗夫斯基（Kamil Szczurowski）开展了一项爱国使命，以评估波兰公共网络的安全性。在拉斯维加斯的Def Con会议上，他们揭示他们的扫描发现了超过10,000个脆弱的公共实体，以及250,000个存在关键漏洞的网站。

这些发现包括机场、医院和政府办公室。该二人组解释说，这些错误很容易被利用，但供应商并未对此给予重视。

背景：一波俄罗斯攻击

这项研究正值波兰面临一波针对其能源和水供应商的所谓俄罗斯网络攻击之际。这些攻击正好利用了现在已被记录的薄弱网络安全。

克鲁切克和斯丘罗夫斯基希望通过爱国主义和使网络更安全的愿望来理解公共网络的状态。他们的工作揭示了一个令人担忧的局面，尤其是在地缘政治紧张局势加剧的背景下。

研究人员发现一些错误极易被利用，这提高了公共服务被劫持的风险。这种情况对国家的关键基础设施构成了威胁。

Pad CMS中的漏洞

Pad CMS内容管理系统被广泛用于波兰网站以组织和展示内容，是漏洞的一个关键焦点。该软件已达到“生命周期结束”，不再接收支持，这使得重要的补丁未能发布。

研究人员在Pad CMS中识别出关键漏洞，使他们能够无需密码访问超过300个公共网站。开发者未能修补该软件，因为他们已停止维护，导致用户处于无保护状态。

另一个发现的错误使他们能够访问波兰司法系统大约三分之二的网站，约245个法院。这种不当访问可能使攻击者操纵司法信息或中断法律服务。

这些脆弱系统的曝光代表了重大风险，尤其是在与俄罗斯的网络冲突背景下。攻击者可能利用这些漏洞发起勒索软件攻击或窃取敏感数据。

克鲁切克和斯丘罗夫斯基通过多个官方渠道向波兰政府报告了他们的发现。在他们的演讲中，他们表示这项努力是值得的，因为结果是我们“稍微安全了一些”。

当局和供应商的反应

这项研究突显了波兰公共管理中缺乏安全文化。缺乏漏洞奖励计划和负责任的披露流程使研究人员不愿以建设性的方式报告漏洞。

研究人员指出，一些供应商将错误报告视为“麻烦”，这种态度与漏洞的严重性形成鲜明对比。这种行为使依赖数字公共服务的数百万公民处于风险之中。

El ejemplo de Pad CMS demuestra los peligros de utilizar软件没有支持。许多公共机构依赖于不再更新的过时系统，这为网络犯罪分子创造了后门。

波兰政府已加强其网络安全工作，但这项研究表明仍有许多工作要做。实施负责任的披露政策和更新软件是紧迫的步骤。

对国家安全的影响

这项研究在高压时刻发布，网络攻击被归咎于俄罗斯，针对波兰的关键基础设施。发现的漏洞可能被国家行为者利用，以破坏该国的稳定。

未经授权访问法院、机场和医院可能导致服务中断，甚至操纵司法数据。风险是显而易见的，不仅限于信息泄露，还包括破坏性攻击的可能性。

研究人员证明，即使使用基本工具，也可以攻陷整个系统。他们对波兰公共领域的系统性扫描是对其他可能面临类似问题国家的明确警告。

当局的反应将是恢复公众对数字安全信任的关键。创建漏洞赏金计划和迁移到积极维护的软件等措施是必不可少的。

Kruczek和Szczurowski不仅识别了问题，还提供了解决方案。他们的官方报告赞扬了这一努力，但坚持认为需要结构性变革来保护公共服务。

对全球社区的启示

波兰的案例提醒我们，网络安全不是奢侈品，而是数字时代的必需品。公共机构必须将网络安全作为对公民的责任优先考虑。

软件缺乏维护和缺乏报告机制是许多国家普遍存在的问题。这项研究提供了一个评估和改善国家安全态势的模型。

研究人员的负责任披露是安全社区如何为公共福祉做出贡献的一个例子。尽管存在风险，他们的工作减少了波兰遭受潜在攻击的暴露。

建议很明确：政府必须投资于网络安全，培训其人员，并促进与外部专家的合作。只有这样，才能减轻在网络空间中不断增加的威胁。

Kruczek和Szczurowski的工作不仅保护了波兰，也为其他基础设施脆弱的国家发出了警告。安全是一个持续的努力，需要持续关注和适当的资源。

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。