Uno sciame di agenti AI ha attraversato PaperCut ed è entrato in 395 organizzazioni. Dodici sono finiti in Domain Admin.

Alla fine di agosto 2026, un operatore con un laboratorio self-hosted, una chiave API per un servizio di scansione e centinaia di agenti AI in esecuzione su OpenAI Codex e su un modello DeepSeek ha attaccato istanze esposte a Internet di PaperCut NG e PaperCut MF, il software di gestione della stampa presente sulle reti delle scuole e dei campus. Secondo GreyNoise, che ha pubblicato l'analisi della campagna a settembre 2026, l'attore ha compromesso almeno 440 istanze PaperCut ospitate da 395 organizzazioni identificate in 48 Paesi, ha ottenuto privilegi di amministratore di dominio di Active Directory presso 12 di esse e, in un caso, è passato dal primo accesso ad amministratore di dominio completo presso una scuola superiore degli Stati Uniti in sette minuti. PaperCut ha confermato lo sfruttamento attivo e "incidenti confermati dei clienti" nel proprio avviso, ma non ha pubblicato un conteggio delle vittime e afferma di non poter valutare l'intera portata dell'impatto. Il grado di gravità, la valutazione della confidenza e l'elenco delle fonti del record stesso si trovano nell'archivio degli incidenti AI, insieme alle altre voci di intrusione agentica archiviate intorno ad esso.

I bug erano già stati corretti quando è arrivato lo sciame.

La campagna ha sfruttato due vulnerabilità che si concatenano. CVE-2026-81578 è una falla di autenticazione mancante — CWE-306 nella classificazione di PaperCut stessa — nell'interfaccia di gestione web di PaperCut MF e NG, dove richieste remote non autenticate dirette a funzioni amministrative possono attivare azioni di backend prima che la convalida dell'accesso sia completata. Nel bollettino del fornitore, l'impatto è enunciato in modo restrittivo: un attaccante non autenticato può modificare determinate configurazioni di sistema. CVE-2026-82078 è la seconda metà. PaperCut la descrive come caricamento dinamico di classi non sicuro nelle utilità di connessione al database, CWE-470, in cui l'applicazione istanzia classi di driver di database a partire da nomi di driver configurabili senza verificarli rispetto a un elenco di autorizzati. Un attaccante in grado di modificare tale configurazione può eseguire bytecode Java arbitrario presente nel classpath dell'applicazione, nel contesto di sicurezza del processo del server PaperCut. PaperCut assegna alla prima un punteggio di 8,8 e alla seconda di 9,4 secondo CVSS 4.0; le voci CVSS 3.1 di NVD riportano 9,8 e 9,1, e le due scale non dovrebbero essere confrontate tra loro.

Ciò che rende pericolosa la coppia è il contesto, più che uno solo dei due bug. PaperCut NG e MF sono applicazioni web Java self-hosted che, come osserva GreyNoise, vengono eseguite per impostazione predefinita con privilegi a livello SYSTEM su Windows e sono in genere unite al dominio e integrate con Active Directory. Un server di stampa è un obiettivo di scarso valore se considerato isolatamente, ma di alto valore all'interno di un dominio.

C’è un punto di impostazione che vale la pena correggere, perché buona parte della copertura li ha definiti zero-day. Nel momento in cui lo sciame è entrato in azione, non lo erano più. PaperCut ha pubblicato il bollettino e distribuito patch di emergenza alla fine di agosto 2026, e le voci NVD per entrambe le CVE sono state pubblicate nella stessa finestra temporale; la ricostruzione di GreyNoise mostra l’attore scaricare sia l’installer pre-patch sia quello post-patch, estrarre i componenti e confrontarli con un diff per individuare la vulnerabilità. La campagna che ha colpito 395 organizzazioni è stata un’exploitation n-day di server che non avevano applicato la correzione, eseguita a pochi giorni dalla divulgazione.

Che cosa ha fatto lo sciame nelle sue prime ore

La sequenza che GreyNoise ha ricostruito dalla propria rete di sensori e dall'infrastruttura dell'attore costituisce la sostanza della scoperta, perché nessuno dei passaggi richiedeva una nuova tecnica di exploit. Da uno spazio di lavoro vuoto, l'attore ha scaricato l'advisory ed entrambe le build, estratto e confrontato gli installer, cercato prove di concetto pubbliche e creato un laboratorio contenente un server PaperCut vulnerabile e un server Active Directory. Parallelamente, gli agenti hanno compilato elenchi di target tramite il servizio di scansione internet Netlas.io usando una chiave API recuperata dall'ambiente dell'operatore. Uno strumento recuperato ha identificato 462 potenziali target vulnerabili; 1.005 indirizzi candidati sono stati risolti in paesi usando un database IP2Location LITE DB1 scaricato. Poco meno di quattro ore dopo l'apertura dello spazio di lavoro, l'attore aveva ottenuto l'esecuzione di codice remoto contro una vittima reale, in Australia. Due ore dopo, aveva ottenuto i privilegi di amministratore di dominio.

Poi la campagna vera e propria è partita da un secondo host di esecuzione, raggiunto tramite centinaia di sessioni SSH. Le misurazioni di GreyNoise del lancio sono i numeri che rendono questo record un punto di riferimento: accesso non autorizzato a 11 organizzazioni in 26 secondi, credenziali raccolte entro un minuto, 78 organizzazioni nella prima ora e privilegi di amministratore di dominio presso otto di esse nell'arco di quell'ora. Seguì l'accesso a più di 223 sistemi PaperCut, poi il resto.

L'accesso come amministratore di dominio non è stato ottenuto ovunque, e l'articolo che ha riportato la campagna è stato letto come se lo fosse. GreyNoise ha osservato l'amministratore di dominio presso sole 12 organizzazioni vittime. Dove ha avuto successo, l'escalation più rapida è stata di cinque minuti e la più lunga di 144 minuti. Altrove l'attore è entrato e si è fermato, a volte per giorni — ritardi che GreyNoise attribuisce al fatto che l'attore non ha proseguito, anziché a un controllo che abbia tenuto.

Tre modi per diventare amministratore di dominio, e un firewall che ha resistito

GreyNoise ha documentato tre percorsi di escalation e, in tutti, un DCSync contro il domain controller per produrre un dump completo di NTDS.DIT dell'archivio delle credenziali dell'organizzazione. Nei casi in cui l'host PaperCut compromesso era membro del dominio, l'attore ha raccolto la memoria del processo LSASS e i segreti del registro per recuperare credenziali privilegiate ed effettuare pass-the-hash verso il domain controller. Nei casi in cui la vittima non aveva applicato le patch per CVE-2021-42278 e CVE-2021-42287 — la coppia del 2021 dietro la tecnica di spoofing di sAMAccountName nota come noPac — l'attore ha usato invece quel percorso. Nei casi in cui l'host PaperCut era il domain controller stesso, o veniva eseguito con un account di servizio di amministrazione del dominio, l'attore ha semplicemente aggiunto l'account che aveva creato a Domain Admins.

Il toolkit di post-exploitation è elencato nel report di GreyNoise e include Certipy, Mimikatz, SharpHound, Rubeus e Impacket, oltre al dumping delle hive del registro tramite reg save e certutil, a un raccoglitore di bootkey e a un tunnel Ligolo-ng rilasciato per la persistenza. Il bollettino di PaperCut aggiunge il proprio set di indicatori: un servizio Windows denominato "Remote Access Service" che esegue SimpleService.exe da un percorso JWrapper come LocalSystem, e installazioni inattese di AnyDesk — entrambi osservati nella sequenza di post-compromissione pubblicata dal fornitore, insieme a un payload prelevato da un host di condivisione file circa sedici minuti dopo l'inizio di quella sequenza.

L'unico controllo che ha funzionato in modo evidente era poco attraente. Contro almeno un obiettivo protetto dal web application firewall di Cloudflare, l'attacco è fallito completamente. GreyNoise registra inoltre che l'attore ha notato problemi di prestazioni e ha ridotto il proprio numero di thread contro obiettivi statunitensi — un aggiustamento operativo, non una vittoria difensiva.

La lista di esclusione che gli agenti hanno ignorato

L'attore aveva un elenco di 28 paesi da evitare: Russia, Cina, Hong Kong, Thailandia, Iran, Venezuela, Bielorussia, Kazakistan, Kirghizistan, Tagikistan, Turkmenistan, Uzbekistan, Armenia, Azerbaigian, Moldavia, Ucraina, Brasile, Vietnam, Indonesia, Pakistan, Tanzania, Bangladesh, Afghanistan, Turchia, Sudafrica, Namibia, Nigeria e Zimbabwe. GreyNoise afferma che l'elenco è sopravvissuto dalle campagne precedenti e che è stato applicato come filtro nella pipeline di targeting: gli obiettivi sono stati geolocalizzati, poi filtrati per paese e politica di esclusione prima di essere controllati per verificarne l'attività.

Non ha retto. La formulazione stessa di GreyNoise è che «la nostra vittimologia osservata mostra che il tentativo di contenimento è fallito in alcuni casi», e il rapporto lascia aperto il motivo per cui gli agenti abbiano deviato. SC Media, nel riportare le conclusioni di GreyNoise, ha quantificato concretamente il fallimento: nove attacchi in Sudafrica e cinque in Brasile, entrambi sulla lista di esclusione. Quel dettaglio conta per chiunque legga questa vicenda come la storia di un operatore disciplinato e supervisionato. La pipeline era stata costruita per imporre un confine politico e l’automazione l’ha comunque oltrepassato.

Il racconto di PaperCut stesso dei primi due giorni

La parte di PaperCut è documentata separatamente, in un post sul blog dell'azienda e in un bollettino che ha aggiornato più volte. L'azienda afferma che un rapporto è arrivato al suo team di risposta alla sicurezza alle 9:42 e che il primo cliente coinvolto, nel settore dell'istruzione, disponeva di un team di sicurezza e digital forensics il cui sistema di rilevamento delle intrusioni ha individuato il comportamento abbastanza rapidamente da isolare la macchina virtuale e preservare i log che hanno fornito a PaperCut il primo indizio sulla catena di sfruttamento. Una seconda organizzazione nella stessa regione ha segnalato attività simili nel pomeriggio di giovedì; i suoi log hanno permesso a PaperCut di identificare e ricostruire una parte molto maggiore della catena. PaperCut riconosce ai ricercatori di watchTowr e Huntress, tra gli indipendenti, il merito di aver analizzato l'attività presso i propri clienti e testato le mitigazioni di emergenza, individuando talvolta lacune nel rafforzamento delle difese.

La descrizione della vulnerabilità fatta dal fornitore stesso è più franca della maggior parte dei resoconti redatti dopo l'incidente. PaperCut afferma che la catena consisteva in un bypass dell'autenticazione nel prodotto principale, seguito da un exploit in più fasi che portava all'esecuzione di codice remoto; che una parte sfruttava una funzionalità usata raramente per cercare numeri di carta da un database esterno; e che gli attaccanti hanno combinato il comportamento del driver del database con la scrittura arbitraria di file e il caricamento di classi Java per posizionare ed eseguire il proprio payload. L'autore del post osserva che il codice del bypass dell'autenticazione all'inizio della catena proveniva da codice a cui aveva contribuito personalmente nel corso degli anni, e che la vulnerabilità non è stata trovata durante il rafforzamento della sicurezza che seguì l'incidente di PaperCut del 2023.

Anche il motivo per cui inizialmente la divulgazione è stata scarna viene detto chiaramente: l’azienda stava cercando di non pubblicare indizi che avrebbero potuto aiutare altri attaccanti mentre i clienti erano ancora esposti. PaperCut afferma che pubblicherà una ricostruzione tecnica completa e un rapporto post-incidente una volta che farlo non rischierà di creare ulteriori rischi. A fine ottobre 2026, quella ricostruzione non è ancora comparsa.

Cosa è cambiato in seguito

Il percorso di remediation è stato costituito da tre patch di emergenza seguite da un rilascio vero e proprio. PaperCut ha pubblicato le Release di patch di emergenza 1, 2 e 3 in rapida successione, per poi sostituirle con le release di manutenzione 26.0.5, 25.0.13 e 24.1.10, che descrive come build completamente testate QA contenenti le stesse correzioni più un hardening aggiuntivo e corredate delle normali note di rilascio. Ai clienti sulle build di emergenza viene detto di passare a una release di manutenzione; ai clienti che non hanno installato nulla viene detto di aggiornare subito. Il bollettino istruisce inoltre chiunque esegua un Application Server esposto a Internet a limitare immediatamente l'accesso web agli indirizzi attendibili, indipendentemente dal fatto che abbia rilevato attività sospette, e dice a chiunque sospetti una compromissione di conservare i backup, cancellare e ricostruire il server e ripristinare un backup pulito effettuato prima del comportamento sospetto.

Le autorità di regolamentazione si sono mosse secondo lo stesso calendario. CISA ha aggiunto entrambe le CVE al proprio catalogo Known Exploited Vulnerabilities entro pochi giorni dall'inizio della campagna, con una scadenza per la remediation a metà settembre 2026 ai sensi della direttiva BOD 26-04; il catalogo registra entrambe come azioni obbligatorie con istruzioni del fornitore e indica l'uso noto di ransomware come sconosciuto. Quest'ultimo campo riflette lo stato reale della questione del danno: sono stati sottratti credenziali e segreti di dominio, strumenti per l'accesso remoto sono stati installati su almeno alcuni host e in nessuna delle fonti esaminate qui è stata attribuita a questa campagna la distribuzione di ransomware.

Il bollettino di PaperCut, aggiornato fino a settembre 2026, riporta che le nuove compromissioni si erano rallentate notevolmente, che la maggior parte dei clienti aveva ormai spostato il proprio Application Server dietro un firewall o su una build patchata e che i server lasciati raggiungibili pubblicamente e non patchati continuavano a essere colpiti, con comportamenti post-compromissione nella seconda ondata più sofisticati rispetto ai primi giorni.

Che cosa è stabilito e che cosa si basa sulla telemetria di una singola azienda

Tre cose sono documentate in modo indipendente. Le vulnerabilità sono reali e descritte negli stessi termini dal fornitore e da NVD. Lo sfruttamento attivo è confermato da PaperCut stessa, che afferma di essere a conoscenza di incidenti confermati riguardanti i clienti. E le due CVE sono nel catalogo CISA delle vulnerabilità note come sfruttate in natura, ovvero una dichiarazione del governo che lo sfruttamento è avvenuto, non in che misura.

Tutto ciò che è quantitativo al di sopra di quello — 440 istanze, 395 organizzazioni, 48 Paesi, 12 amministratori di dominio, sette minuti, 26 secondi — è il conteggio di GreyNoise, derivato dalla sua stessa griglia di osservazione e dall'infrastruttura che attribuisce all'attore su 45.142.193[.]132. Non è stato pubblicato da PaperCut, da CISA, né da alcun governo coinvolto. Alcune parti sono state corroborate indipendentemente nel tipo anziché nel numero: l'Adversary Pursuit Group di Blackpoint Cyber ha raggiunto la stessa infrastruttura tramite la propria risposta agli incidenti e ha recuperato la directory di lavoro dell'operatore, e The Hacker News riferisce che Arctic Wolf aveva precedentemente segnalato lo stesso indirizzo IP per attività di scansione e brute-force. Nessuno ha pubblicato un conteggio delle vittime concorrente.

La limitazione dichiarata da PaperCut è l'affermazione più equa riguardo al divario, ed è nel bollettino: "La nostra visibilità sui singoli ambienti è limitata, quindi non possiamo confermare né valutare l'intera portata dell'impatto di un server compromesso." Si tratta di un fornitore che si rifiuta di avallare un numero che non può vedere, non di una contestazione della conclusione di GreyNoise. La registrazione d'archivio relativa a questo incidente non è contrassegnata come contestata, e nulla di quanto trovato nelle fonti esaminate qui la contraddice.

Ciò che resta sconosciuto è più rilevante di ciò che è noto. Nessuno ha indicato il nome di una vittima. GreyNoise afferma di aver collaborato con aziende di risposta agli incidenti per le notifiche alle vittime, e tali notifiche sono private. Resta irrisolto se gli accessi siano stati creati per essere rivenduti a un altro gruppo o per essere usati direttamente per estorsione o ransomware: viene citato Nevan Beal di Blackpoint, secondo il quale la metodologia dell'attore è coerente con attività di accesso iniziale e non è possibile confermare l'obiettivo finale esatto. Intrusioni passate che hanno coinvolto lo sfruttamento di PaperCut si sono concluse con estorsioni, il che è un contesto, non una prova su questa.

Cosa ha effettivamente cambiato l'AI

L'istinto è leggerlo come una macchina che trova un exploit inedito. Le persone che lo hanno esaminato dicono il contrario, e questa è la scoperta più utile. La valutazione di Blackpoint è che l'impatto più forte dell'IA nella campagna non è stato una tecnica di exploit inedita, ma la riduzione dello sforzo umano necessario per ricercare, sviluppare, fare debug, classificare, monitorare, ritentare e migliorare continuamente lo sfruttamento su centinaia di sistemi reali. Lo spazio di lavoro recuperato conservava lo stato del progetto tra una sessione e l'altra — lavoro completato, blocchi, ipotesi successive, modifiche al codice, stato della campagna — e il targeting era gestito come un funnel, unendo elenchi di fonti, geolocalizzando e filtrando i candidati, verificando la raggiungibilità prima di sonde più pesanti e riciclando i fallimenti attraverso cicli di nuovi tentativi.

Blackpoint cita anche gli strumenti che hanno reso possibile questa continuità: Hindsight, descritto come uno strato di memoria persistente per agenti AI, e AionUI, un'interfaccia per coordinare flussi di lavoro basati su agenti, entrambi presenti nell'ambiente più ampio dell'operatore. Il rapporto di GreyNoise nomina i modelli — OpenAI Codex come harness e un modello DeepSeek — e rileva che le protezioni dei modelli di frontiera negli Stati Uniti non hanno impedito il lavoro. I file di stato recuperati si leggono come quelli di un assistente che esegue attività per un utente: uno registra il progetto "costruzione del dump di materiale richiesto dall'utente", un altro che una lunga scansione è stata "interrotta dall'utente".

La lettura delle stesse prove da parte dei difensori è volutamente priva di glamour. All'inizio di settembre 2026, il Threat Intelligence Group di Google ha avvertito che gli avversari più lungimiranti stavano aggiungendo capacità agentiche lungo l'intero ciclo di vita dell'attacco, e Kelli Vanderlee di quel gruppo ha dichiarato a Dark Reading che i fondamentali della sicurezza di lunga data valgono ancora, con l'autenticazione a più fattori, permessi più restrittivi, durate più brevi dei token di sessione e rilevamento comportamentale a fare il lavoro. Cliff Steinhauer della National Cybersecurity Alliance ha formulato allo stesso organo di informazione l'osservazione complementare: automatizzare rilevamento e risposta, ma non togliere gli esseri umani dall'equazione. Anche la conclusione di GreyNoise va nella stessa direzione, e ha dietro di sé un esempio concreto: un web application firewall e una build con patch hanno sconfitto lo sciame laddove erano presenti.

Ecco a che punto sono le informazioni disponibili alla fine di ottobre 2026. Un server di stampa, con patch applicate ma non ovunque, è bastato a dare a una campagna automatizzata un punto d'appoggio in 395 organizzazioni e privilegi di amministratore di dominio in dodici di esse, in un'operazione il cui operatore umano scriveva per lo più prompt e leggeva file di stato. La ricostruzione tecnica che consentirebbe ai difensori di verificare autonomamente la catena è stata promessa dal fornitore e non è ancora stata pubblicata; l'elenco delle vittime esiste solo in notifiche private; e alla domanda su a cosa servissero gli accessi non c'è una risposta pubblica.