A GreyNoise publicou um relato de uma campanha que vale a pena ler com atenção, porque a parte interessante não é a vulnerabilidade. É o ritmo.

O que aconteceu

Um único atacante, avaliado como falante de russo, explorou duas falhas no software de gerenciamento de impressão PaperCut NG/MF, catalogadas como CVE-2026-81578 e CVE-2026-82078. O resultado foi pelo menos 440 sistemas comprometidos em 395 organizações em 48 países.

O atacante primeiro construiu um laboratório privado com uma cópia vulnerável do PaperCut e um servidor Active Directory, e então desenvolveu e testou os exploits ali. Os agentes rodavam sobre o harness Codex da OpenAI combinado com um modelo DeepSeek, junto com ferramentas ofensivas de segurança disponíveis publicamente.

A velocidade é a história

De um ambiente de trabalho vazio até a execução remota de código contra uma vítima real levou pouco menos de quatro horas. O primeiro acesso de administrador de domínio veio duas horas depois disso. Assim que a campanha foi lançada de fato, onze organizações foram comprometidas em 26 segundos.

Credenciais foram coletadas de 280 vítimas. Segredos de sistema operacional ou de domínio vieram de 147. Privilégios de administrador foram obtidos em 12 organizações.

Quem foi atingido

O setor de educação dominou com 204 vítimas, muito à frente de varejo, serviços profissionais e hotelaria, com organizações governamentais, de saúde e jurídicas espalhadas atrás. A GreyNoise atribui essa distribuição à base de clientes do PaperCut, e não a um direcionamento deliberado — os agentes foram atrás de tudo que estava acessível.

Por que isso importa

As janelas de correção sempre foram uma corrida entre defensores e atacantes, e ambos os lados se moviam em velocidade humana. Foi essa premissa que se quebrou aqui. Um atacante capaz de sair de um ambiente de trabalho novo para uma exploração funcional em quatro horas, e depois atingir onze organizações em menos de meio minuto, comprimiu a janela para algo que nenhum processo manual de correção consegue acompanhar.

As ferramentas envolvidas não eram exóticas. Um harness de codificação, um modelo de peso aberto e utilitários ofensivos prontos para uso. Essa combinação está disponível para qualquer pessoa, e essa é a parte incômoda.