LAS VEGAS / LONDON (IT BOLTWISE) – Zwei polnische Sicherheitsforscher haben auf Basis eines Web-Scans mehr als 10.000 betroffene öffentliche Stellen mit rund 250.000 verwundbaren Webseiten identifiziert. Auf der Def Con zeigten sie, dass darunter kritische Lücken in einem verbreiteten Content-Management-System namens Pad CMS fallen. In mehreren Fällen konnten Angreifer ohne Passwort über 300 öffentliche Websites erreichen. Die Forscher verknüpften die Befunde mit dem Umstand, dass nach dem „End of Life“-Status des Produkts teils keine Patches mehr geliefert wurden.
Der Befund wirkt zunächst wie eine reine Zahlenspielerei, bekommt aber schnell eine sehr konkrete Sicherheitsdimension: Auf der Def Con in Las Vegas stellten zwei polnische Sicherheitsforscher den Stand der Verwundbarkeit des öffentlichen Webs dar. Dabei ging es nicht um einzelne schlecht gepflegte Seiten, sondern um Tausende öffentliche Einrichtungen, deren digitale Auftritte potenziell für Angriffe erreichbar waren. Laut ihren Angaben fanden sie mehr als 10.000 betroffene öffentliche Entities und etwa 250.000 Webseiten mit Sicherheitslücken, darunter kritische Bereiche wie Flughäfen, Krankenhäuser und Behörden.
Technisch beschreibt der Bericht vor allem das Zusammenspiel aus unsauberen Komponenten und fehlenden Sicherheitsmechanismen auf organisatorischer Ebene. Die Forscher führen Schwachstellen unter anderem auf „buggy software“ bei Lieferanten sowie darauf zurück, dass es teils keine funktionierenden Prozesse für Bug Bounties oder für die Meldung von Sicherheitsproblemen gibt. Wenn Meldungen nicht standardisiert verarbeitet werden, dauert die Patch-Reaktion in der Praxis oft länger – oder bleibt komplett aus. Genau hier wird das Risiko für typische Angriffsarten greifbar: von Übernahmen einzelner Web-Frontends bis hin zu Hijacking- und Folgeangriffen, die ein kompromittiertes System als Sprungbrett nutzen.
Besonders brisant waren nach ihren Schilderungen Schwachstellen im weit verbreiteten Content-Management-System Pad CMS. Sie fanden demnach kritische Lücken in einem Websystem, die eine passwortfreie Zustandsaufnahme ermöglichten: Angreifer hätten so aus ihrer Sicht „easy“ auf mehr als 300 öffentliche Websites zugreifen können, ohne eine Anmeldung zu benötigen. Ein zusätzlicher Auslöser für die Dauerhaftigkeit des Problems ist die fehlende Wartung: Der Hersteller habe das System nicht gepatcht, weil es „end of life“ sei und damit nicht mehr unterstützt werde. Das Muster ist aus der Sicherheitsbranche bekannt, weil veraltete Komponenten zwar weiter eingesetzt werden können, aber die Herstellerseite keine Korrekturen mehr liefert – wodurch aus technischen Einzellücken schnell ein strukturelles Risiko entsteht.
Daneben berichten die Forscher von einer weiteren Schwachstelle, die Zugang zu Webseiten eines großen Teils der Justiz erlaubt habe: etwa zwei Drittel der polnischen Justiz, also ungefähr 245 Gerichte, seien betroffen gewesen. Wichtig ist dabei die Perspektive auf die Ausnutzbarkeit: In den Aussagen zu ihrem Vortrag wird deutlich, dass einige Bugs extrem leicht zu triggern waren, jedoch nicht überall die nötige Aufmerksamkeit fanden. Wenn Anbieter Meldungen als „Inconveniences“ abtun oder zumindest nicht mit der gleichen Priorisierung reagieren, entsteht eine Schieflage zwischen tatsächlichem Risiko und wahrgenommener Dringlichkeit. Gleichzeitig zeigen ihre Ergebnisse, dass strukturierte Scans im öffentlichen Internet zwar „nur“ ein Signal liefern, in Summe aber sehr zuverlässig ein Bild von der Angriffsoberfläche ergeben können.
Der Timing-Kontext kommt hinzu: Polen baut laut dem Umfeld der Meldung seine Cyberabwehr aus, nachdem es mutmaßliche Angriffe aus Richtung Russland auf Energie- und Wasseranbieter gegeben hatte. Einige dieser Aktionen sollen dabei Schwächen in der jeweiligen Cybersicherheit ausgenutzt haben. In so einer Lage werden aus Standard-Themen wie veraltete CMS-Versionen oder fehlende Meldekanäle plötzlich strategische Fragen, weil Angreifer nicht nur in der kritischen Infrastruktur suchen, sondern auch im öffentlichen Auftritt von Organisationen, der oft als „Trusted Entry Point“ wahrgenommen wird. Selbst wenn der unmittelbare Impact einer Web-Lücke zunächst begrenzt wirkt, kann die daraus resultierende Kompromittierung weitere Systeme in Reichweite bringen – etwa über geteilte Authentifizierungslogiken, administrative Schnittstellen oder falsch konfigurierte Backends.
Die Konsequenzen für Behörden und Betreiber sind damit weniger theoretisch als operativ. Wenn ein System „end of life“ erreicht, verschiebt sich die Verantwortung: Dann braucht es entweder zeitnahe Migrationen oder klar definierte compensating controls, etwa Isolation, WAF-Regeln, feste Patch-SLAs für verbleibende Module oder die Abschaltung der betroffenen Angriffsfläche. Zudem rücken koordinierte Sicherheitsprozesse in den Fokus: Bug Bounties, klare Kommunikationswege und ein verlässlicher Umgang mit verantwortungsvollen Meldungen sind in vielen Organisationen der Unterschied zwischen „gefunden“ und „geschlossen“. Dass die Forscher ihre Ergebnisse über verschiedene offizielle Kanäle gemeldet haben, zeigt außerdem, dass solche Untersuchungen nicht bei der Veröffentlichung enden müssen, sondern Teil eines koordinierteren Risikoreduktionsprozesses sein können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Polen: Sicherheitsforscher entdecken tausende Schwachstellen in öffentlicher IT" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Polen: Sicherheitsforscher entdecken tausende Schwachstellen in öffentlicher IT" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Polen: Sicherheitsforscher entdecken tausende Schwachstellen in öffentlicher IT« bei Google Deutschland suchen, bei Bing oder Google News!