ポーランドで1万以上の脆弱な公共機関を発見した研究者たち

By: rootdata|2026/08/07 21:21:35

ポーランドのセキュリティ研究者2人が、自国の公開ウェブをスキャンし、空港、病院、裁判所を含む1万以上の脆弱な機関を発見しました。彼らはDef Conで発見を発表し、Pad CMSシステムの重大な欠陥を明らかにし、ポーランドをサイバー攻撃の可能性にさらしました。

ポーランドで25万のセキュリティ欠陥のあるウェブサイトを発見し、1万以上の公共機関に影響を与えました。
サポートがないPad CMSコンテンツ管理システムは、300以上の政府サイトにパスワードなしでアクセスを許可しました。
研究者たちは、ポーランドの司法機関の66%に脆弱性を特定し、245の裁判所を含んでいます。

ポーランドのセキュリティ研究者、ロベルト・クルチェクとカミル・シュチュロウスキは、ポーランドの公開ウェブのセキュリティを評価するための愛国的な使命に取り組みました。ラスベガスでのDef Con会議で、彼らのスキャンが1万以上の脆弱な公共機関を発見し、25万の重大な欠陥のあるウェブサイトを見つけたことを明らかにしました。

発見には、空港、病院、政府機関が含まれています。このデュオは、エラーが簡単に悪用できるものであるが、プロバイダーによって真剣に受け止められていないと説明しました。

背景：ロシアの攻撃の波

この調査は、ポーランドがエネルギーと水の供給者を狙ったロシアのサイバー攻撃の波に直面している時期に行われました。これらの攻撃は、現在文書化されている脆弱なサイバーセキュリティを利用しています。

クルチェクとシュチュロウスキは、愛国心とウェブをより安全にしたいという願望から、公開ウェブの状態を理解しようとしました。彼らの作業は、地政学的緊張が高まる中での国にとって警戒すべき状況を明らかにしました。

研究者たちは、一部のエラーが非常に簡単に悪用できることを発見し、公共サービスのハイジャックのリスクを高めていました。この状況は、国の重要なインフラを危険にさらしています。

Pad CMSの脆弱性

ポーランドのウェブサイトで広く使用されているコンテンツ管理システムPad CMSは、脆弱性の重要な焦点でした。このソフトウェアは「ライフサイクルの終わり」に達し、もはやサポートを受けておらず、重要なパッチが欠落しています。

研究者たちは、Pad CMSの重大な脆弱性を特定し、パスワードなしで300以上の公共ウェブサイトにアクセスすることを可能にしました。開発者はソフトウェアのメンテナンスを停止したため、パッチを適用しませんでした。

別のエラーにより、ポーランドの司法機関の約3分の2、すなわち245の裁判所のウェブサイトにアクセスできるようになりました。この不正アクセスにより、攻撃者が司法情報を操作したり、法的サービスを中断したりする可能性があります。

これらの脆弱なシステムの露出は、特にロシアとのサイバー紛争の文脈において重大なリスクを表しています。攻撃者はこれらの欠陥を利用してランサムウェア攻撃を仕掛けたり、機密データを盗んだりする可能性があります。

クルチェクとシュチュロウスキは、さまざまな公式チャンネルを通じてポーランド政府に発見を報告しました。彼らの講演では、努力が報われたと述べ、私たちは「少しだけ安全になった」と言いました。

当局とプロバイダーの反応

この調査は、ポーランドの公的管理におけるセキュリティ文化の欠如を浮き彫りにしています。バグ報奨プログラムや責任ある開示プロセスの欠如は、研究者が建設的に欠陥を報告することを思いとどまらせています。

研究者たちは、一部のプロバイダーがバグレポートを「不便」として軽視していると指摘しました。この態度は、脆弱性の深刻さと対照的であり、デジタル公共サービスに依存する何百万もの市民を危険にさらしています。

Pad CMSの例は、アクティブサポートのないソフトウェアを使用する危険性を示しています。多くの公共機関は、セキュリティアップデートを受けない古いシステムに依存しており、サイバー犯罪者にとってのバックドアを作り出しています。

ポーランド政府はサイバーセキュリティの取り組みを強化していますが、この研究はまだ多くの作業が残っていることを示しています。責任ある開示ポリシーの実施とソフトウェアの更新は、緊急のステップです。

国家安全保障への影響

この調査は、ロシアによるポーランドの重要インフラに対するサイバー攻撃がある中で行われました。発見された脆弱性は、国家の行為者によって国を不安定にするために悪用される可能性があります。

裁判所、空港、病院への不正アクセスは、サービスの中断から司法データの操作まで引き起こす可能性があります。リスクは具体的であり、情報の露出にとどまらず、破壊的な攻撃の可能性も含まれています。

研究者たちは、基本的なツールを使用しても、システム全体が侵害される可能性があることを示しました。ポーランドの公開ドメインの体系的なスキャンは、同様の問題を抱える他の国々への明確な警告です。

当局の対応は、デジタルセキュリティへの信頼を回復するための鍵となります。バグバウンティプログラムの創設や、アクティブに維持されているソフトウェアへの移行などの措置が不可欠です。

クルチェクとシュチュロウスキは、問題を特定するだけでなく、解決策も提供しました。彼らの公式報告書は努力を称賛しましたが、公共サービスを保護するためには構造的な変化が必要であると強調しました。

グローバルコミュニティへの教訓

ポーランドのケースは、サイバーセキュリティが贅沢ではなく、デジタル時代における必要であることを思い出させます。公共機関は、市民に対する責任の一環としてサイバーセキュリティを優先すべきです。

ソフトウェアのメンテナンスの欠如や報告メカニズムの不在は、多くの国で共通の問題です。この研究は、国家のセキュリティ姿勢を評価し改善するためのモデルを提供します。

研究者による責任ある開示は、セキュリティコミュニティが公共の福祉に貢献できる方法の一例です。リスクがあるにもかかわらず、彼らの仕事はポーランドの攻撃への露出を減少させました。

明確な推奨事項は、政府がサイバーセキュリティに投資し、職員を訓練し、外部の専門家との協力を促進すべきであるということです。そうすることで、サイバー空間で増加する脅威を軽減することができます。

クルチェクとシュチュロウスキの仕事は、ポーランドを保護するだけでなく、デジタルインフラが脆弱な他の国々への警告としても機能します。セキュリティは継続的な努力であり、常に注意と適切なリソースが必要です。

--価格

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。