Ponad 10 tysięcy podatnych podmiotów publicznych, około 250 tysięcy stron z problemami bezpieczeństwa, a wśród nich serwisy sądów, szpitali, lotnisk i urzędów.
Robert Kruczek i Kamil Szczurowski postanowili sprawdzić, jak właściwie wygląda bezpieczeństwo polskiego internetu publicznego. Ich odpowiedzi sprawiły, że poczułam się odrobinę niekomfortowo.
Wyniki swoich badań przedstawili w piątek, 7 sierpnia, podczas DEF CON w Las Vegas, jednej z największych konferencji poświęconych cyberbezpieczeństwu na świecie. Jak opowiadali, projekt zaczął się z dość prostego powodu: chcieli z ciekawości i – jak sami mówią – z pewnego poczucia patriotyzmu sprawdzić, czy (i może jak) łatwo jest wejść tam, gdzie nikt nie powinien się dobijać.
Czy jest źle? Jak źle?
Kim są nasi bohaterowie? Kruczek i Szczurowski są etycznymi hakerami i konsultantami ds. cyberbezpieczeństwa w polskiej firmie Securitum. Na co dzień zajmują się m.in. szukaniem luk w aplikacjach internetowych. Tym razem zainteresowali się oprogramowaniem wykorzystywanym przez polskie instytucje publiczne.
Jednym z systemów, którym przyjrzeli się bliżej, był PAD CMS – oprogramowanie używane między innymi do obsługi stron instytucji publicznych i Biuletynów Informacji Publicznej. Badacze znaleźli w nim dwie krytyczne luki. W dużym uproszczeniu: pozwalały one osobie bez konta i hasła wrzucić na serwer własny plik, a następnie go uruchomić. Też czujecie się niekomfortowo? No właśnie.
Problem dotyczył ponad 300 publicznych serwisów. Badacze zgłosili go do CERT Polska, czyli krajowego zespołu reagowania na incydenty cyberbezpieczeństwa. CERT sprawdził system dokładniej i znalazł w PAD CMS kolejnych siedem luk – łącznie było ich dziewięć.
Jak się okazało, producent nie planował poprawek, bo system oficjalnie nie był już wspierany.
Aczkolwiek, nadal korzystały z niego instytucje publiczne. We wrześniu 2025 roku CERT opisał podatności, a dzień później Ministerstwo Cyfryzacji zaleciło natychmiastowe wyłączenie PAD CMS.
Jeszcze większą skalę miała inna znaleziona przez nich podatność: pozwalała uzyskać dostęp do stron około 245 polskich sądów, czyli mniej więcej dwóch trzecich wszystkich w kraju. Badacze nie ujawnili publicznie szczegółów luki, wiadomo jednak, że wyniki całego projektu zgłaszali m.in. do państwowych zespołów odpowiedzialnych za cyberbezpieczeństwo – pozostaje więc mieć nadzieję, że kto powinien wiedzieć, już wie i coś z tym robi.
Dziura – i co dalej?
Problemem okazały się nie tylko same luki, ale też to, komu właściwie je zgłaszać. Kruczek i Szczurowski zwracali uwagę na to, że wiele instytucji i dostawców nie ma jasnych procedur, adresów do kontaktu ani programów bug bounty (nagradzających za zgłaszanie luk bezpieczeństwa).
Czasem znalezienie podatności było więc prostsze niż znalezienie osoby, która powinna o niej wiedzieć.
Z reakcjami też bywało różnie. Jedni współpracowali, inni traktowali zgłoszenie jak dodatkowy problem – co przykro jest czytać, bo cała idea etycznego hackingu polega właśnie na tym, żeby dziury znajdować, zgłaszać i łatać. W skrócie – działanie obydwu stron jest tu kluczowe.
Sam projekt trwa zresztą od 2025 roku. Część podatności była zgłaszana i opisywana wcześniej, a DEF CON był przede wszystkim okazją do pokazania skali całego przedsięwzięcia. Biorąc pod uwagę kontekst – mam szczerą nadzieję, że niepokojące cyfry będą maleć, a problemy rozwiązywać. Chwała patriotom hakerom!
Źródła:
– https://techcrunch.com/2026/08/07/security-researchers-scanned-the-polish-web-and-found-courts-hospitals-and-airports-at-risk-of-hacks/
– https://cert.pl/posts/2025/09/CVE-2025-7063/
– https://insecon.pl/pl/aktualnosci/wnioski-z-badan-nad-cyberbezpieczenstwem-polskiego-sektora-publicznego/
– https://www.gov.pl/web/cyfryzacja/rekomendacja-pelnomocnika-rzadu-ds-cyberbezpieczenstwa-zaprzestanie-korzystania-z-oprogramowania-pad-cms
– https://sekurak.pl/krytyczne-podatnosci-rce-w-pad-cms-zgloszenie-przez-ekspertow-securitum-i-analiza-cert-polska-konieczne-natychmiastowe-dzialania/
Źródło grafiki: Unsplash