GreyNoise a publié le récit d'une campagne qui mérite d'être lu attentivement, car ce qui est intéressant n'est pas la vulnérabilité. C'est le rythme.

Ce qui s'est passé

Un seul attaquant, jugé russophone, a exploité deux failles du logiciel de gestion d'impression PaperCut NG/MF, référencées CVE-2026-81578 et CVE-2026-82078. Le résultat a été au moins 440 systèmes compromis répartis dans 395 organisations dans 48 pays.

L'attaquant a d'abord construit un laboratoire privé avec une copie vulnérable de PaperCut et un serveur Active Directory, puis y a développé et testé les exploits. Les agents fonctionnaient sur le harnais Codex d'OpenAI associé à un modèle DeepSeek, aux côtés d'outils offensifs disponibles publiquement.

La vitesse, voilà l'histoire

Il n'a fallu qu'un peu moins de quatre heures pour passer d'un environnement de travail vide à l'exécution de code à distance contre une véritable victime. Le premier accès administrateur de domaine est survenu deux heures plus tard. Une fois la campagne véritablement lancée, onze organisations ont été compromises en 26 secondes.

Des identifiants ont été récupérés auprès de 280 victimes. Des secrets du système d'exploitation ou du domaine provenaient de 147 d'entre elles. Des privilèges d'administrateur ont été obtenus dans 12 organisations.

Qui a été touché

Le secteur de l'éducation domine avec 204 victimes, loin devant le commerce de détail, les services professionnels et l'hôtellerie, tandis que des organisations gouvernementales, de santé et juridiques sont dispersées derrière. GreyNoise attribue ce déséquilibre à la base de clients de PaperCut plutôt qu'à un ciblage délibéré — les agents s'en sont pris à tout ce qui était accessible.

Pourquoi cela compte

Les fenêtres de correctifs ont toujours été une course entre défenseurs et attaquants, et les deux camps évoluaient à un rythme humain. C'est cette hypothèse qui a volé en éclats ici. Un attaquant capable de passer d'un environnement de travail neuf à une exploitation fonctionnelle en quatre heures, puis de toucher onze organisations en moins d'une demi-minute, a comprimé la fenêtre d'action à un niveau qu'aucun processus de correction manuel ne peut respecter.

Les outils utilisés n'avaient rien d'exotique. Un harnais de codage, un modèle à poids ouverts et des utilitaires offensifs standards. Cette combinaison est à la portée de n'importe qui, ce qui est précisément ce qui dérange.