GreyNoise hat einen Bericht über eine Kampagne veröffentlicht, der genaues Lesen lohnt, denn das Interessante daran ist nicht die Schwachstelle. Es ist das Tempo.

Was geschah

Ein einzelner Angreifer, eingeschätzt als russischsprachig, nutzte zwei Schwachstellen in der Druckmanagement-Software PaperCut NG/MF aus, geführt unter CVE-2026-81578 und CVE-2026-82078. Das Ergebnis waren mindestens 440 kompromittierte Systeme in 395 Organisationen in 48 Ländern.

Der Angreifer baute zunächst ein privates Labor mit einer verwundbaren Kopie von PaperCut und einem Active-Directory-Server auf und entwickelte und testete die Exploits dort. Die Agenten liefen auf OpenAIs Codex-Harness in Kombination mit einem DeepSeek-Modell, zusammen mit öffentlich verfügbaren Offensiv-Sicherheitstools.

Die Geschwindigkeit ist die eigentliche Geschichte

Von einem leeren Arbeitsbereich bis zur Remote-Code-Ausführung gegen ein reales Opfer dauerte es knapp vier Stunden. Der erste Domain-Admin-Zugriff folgte zwei Stunden später. Sobald die Kampagne richtig anlief, wurden elf Organisationen in 26 Sekunden kompromittiert.

Zugangsdaten wurden von 280 Opfern abgegriffen. Betriebssystem- oder Domain-Geheimnisse stammten von 147. Administratorrechte wurden bei 12 Organisationen erlangt.

Wer betroffen war

Der Bildungssektor dominierte mit 204 Opfern, weit vor Einzelhandel, professionellen Dienstleistungen und Hotellerie, während Behörden, Gesundheitswesen und Rechtsorganisationen vereinzelt dahinter lagen. GreyNoise führt diese Verteilung auf die Kundenbasis von PaperCut zurück und nicht auf gezieltes Vorgehen — die Agenten griffen an, was auch immer erreichbar war.

Warum es wichtig ist

Patch-Fenster waren schon immer ein Wettlauf zwischen Verteidigern und Angreifern, und beide Seiten bewegten sich in menschlichem Tempo. Genau diese Annahme ist hier zusammengebrochen. Ein Angreifer, der von einem frischen Arbeitsbereich in vier Stunden zu funktionierender Ausnutzung gelangen und dann elf Organisationen in weniger als einer halben Minute treffen kann, hat das Zeitfenster auf ein Maß verkürzt, das kein manueller Patch-Prozess mehr erreichen kann.

Die eingesetzten Werkzeuge waren nicht exotisch. Ein Coding-Harness, ein offenes Modell und handelsübliche Offensiv-Tools. Diese Kombination steht jedem zur Verfügung, und genau das ist das Unbehagliche daran.