GreyNoise опублікувала звіт про кампанію, який варто уважно прочитати, бо цікава тут не сама вразливість, а темп атаки.

Що сталося

Один зловмисник, ймовірно російськомовний, використав дві вади в програмному забезпеченні для керування друком PaperCut NG/MF, відомі як CVE-2026-81578 та CVE-2026-82078. У результаті було скомпрометовано щонайменше 440 систем у 395 організаціях у 48 країнах.

Спочатку зловмисник створив приватну лабораторію з вразливою копією PaperCut та сервером Active Directory, де розробив і протестував експлойти. Агенти працювали на основі Codex harness від OpenAI у поєднанні з моделлю DeepSeek, а також загальнодоступних інструментів для атак.

Головне — швидкість

Від порожнього робочого середовища до віддаленого виконання коду на реальній жертві минуло трохи менше чотирьох годин. Перший доступ рівня адміністратора домену з'явився ще через дві години. Коли кампанія повноцінно запрацювала, одинадцять організацій було скомпрометовано за 26 секунд.

Облікові дані було зібрано у 280 жертв. Секрети операційної системи або домену отримано від 147. Права адміністратора здобуто у 12 організаціях.

Хто постраждав

Найбільше постраждала сфера освіти — 204 жертви, значно попереду роздрібної торгівлі, професійних послуг і готельного бізнесу, а державні, медичні та юридичні організації розкидані далі по списку. GreyNoise пояснює цей перекос клієнтською базою PaperCut, а не цілеспрямованим вибором мети — агенти атакували все, до чого могли дістатися.

Чому це важливо

Вікна для встановлення патчів завжди були гонкою між захисниками та зловмисниками, і обидві сторони діяли зі швидкістю людини. Саме це припущення тут зламалося. Зловмисник, здатний пройти шлях від чистого робочого середовища до працюючого експлойту за чотири години, а потім атакувати одинадцять організацій менш ніж за півхвилини, стиснув це вікно до розмірів, які жоден процес ручного патчування не встигне закрити.

Використані інструменти не були чимось екзотичним: середовище для написання коду, модель з відкритими вагами та готові утиліти для атак. Ця комбінація доступна будь-кому — і саме це найбільше непокоїть.