波兰网络安全调研曝光大量高危漏洞 法院医院机场网站面临黑客入侵风险

两名波兰安全研究员希望摸清本国互联网面对网络攻击的脆弱程度，很快就发现数千家公共机构与网站面临被黑客入侵的风险。

周五在拉斯维加斯举办的 Def Con 网络安全大会上，安全研究员罗伯特・克鲁切克与卡米尔・什楚罗夫斯基表示，出于爱国情怀，同时希望提升全民网络安全水平，他们着手调研波兰公共网络现状。

没过多久，二人就发现超过 10000 个公共机构，共计 25 万个网站存在安全漏洞，其中包括机场、医院以及政府办公机构。

研究员表示，部分厂商软件本身存在缺陷，再加上缺少漏洞赏金机制以及安全漏洞上报渠道，使得波兰公共服务面临网页劫持以及其他网络攻击威胁。部分漏洞利用门槛极低，却没有得到足够重视，部分软件厂商甚至将漏洞报告视作麻烦。

本次研究开展之际，波兰正着力强化网络防御。此前多起疑似俄罗斯发起的黑客攻击，将目标对准该国能源与供水企业，部分攻击正是利用薄弱的网络安全防护完成。

克鲁切克与什楚罗夫斯基在广泛使用的内容管理系统 Pad CMS 中发现多处漏洞，很多网站管理员依靠这套系统整理、展示网站内容。

二人在 Pad CMS 这套网页系统中发现高危漏洞，无需密码即可轻易入侵 300 多个公共网站。该软件开发商没有推送补丁修复，原因是产品已经停止维护，生命周期宣告结束。

他们还发现另一个漏洞，可入侵波兰约三分之二司法系统网站，涉及大约 245 家法院。

两位研究员已经通过多条官方渠道，将全部漏洞情况上报给波兰政府。

研究员在演讲中表示，整个过程虽然麻烦，但一切都值得，得益于本次调研，“我们的网络环境安全程度得到小幅提升”。