Aktualizované: GreyNoise pripisuje AI-orchestráciu kampani proti PaperCut NG/MF

GreyNoise kampaň PaperCut opisuje ako kampaň využívajúcu stovky AI agentov, ktorá sa zamerala na zraniteľnosti CVE-2026-81578 a CVE-2026-82078 v systémoch PaperCut NG/MF. Výskumná firma 9. septembra uviedla, že podľa jej telemetrie bolo kompromitovaných najmenej 440 inštancií u 395 identifikovaných organizácií v 48 krajinách.

Výrobca PaperCut naďalej potvrdzuje aktívne zneužívanie chýb. Uvádza tiež druhú vlnu útokov so sofistikovanejším správaním po kompromitácii. Organizáciám odporúča nasadiť Emergency Patch Release 3, ktorý nahrádza skoršie núdzové opravy, alebo bezodkladne odstrániť verejnú dostupnosť servera.

GreyNoise kampaň PaperCut mala využiť AI agentov

Podľa GreyNoise útočník pri kampani využil stovky AI agentov, prostredie Codex ako nástroj na orchestráciu, model DeepSeek a verejne dostupné útočné nástroje. Pozorovaná aktivita bola zaznamenaná 31. augusta.

GreyNoise zaznamenala doménové administrátorské oprávnenia pri 12 organizáciách. Správa zároveň prináša nové indikátory kompromitácie, ktoré by správcovia mali zahrnúť do preverovania svojich prostredí.

Ide o spresnenie rozsahu už potvrdeného aktívneho zneužívania PaperCut NG/MF. Údaje o 440 kompromitovaných inštanciách, počte organizácií aj použití AI agentov však pochádzajú z telemetrie jednej bezpečnostnej firmy. Verejne nie sú nezávisle potvrdené všetkými zasiahnutými organizáciami ani výrobcom PaperCut.

Prioritou je Release 3 a preverenie kompromitácie

PaperCut odporúča prejsť na Release 3. Správcovia verejne dostupných PaperCut NG/MF serverov majú popri aktualizácii preveriť kompromitáciu a indikátory od GreyNoise, prípadne server okamžite odstrániť z verejného internetu.

• Nasadiť Emergency Patch Release 3 pre PaperCut NG alebo PaperCut MF.
• Odstrániť verejnú dostupnosť servera.
• Preveriť prostredie na indikátory kompromitácie od GreyNoise.
• Skontrolovať, či nedošlo k následným aktivitám po získaní prístupu.

Stále nie je potvrdené, či útočník všetky získané prístupy zneužil na krádež dát alebo ransomvér, alebo ich poskytol ďalším aktérom. Pripísanie aktivity rusky hovoriacemu aktérovi je hodnotením GreyNoise, nie potvrdenou identitou útočníka.

Čo sledovať ďalej

PaperCut avizoval na 10. septembra štandardné maintenance releases pre verzie 26.0.5, 25.0.13 a 24.1.10. Dôležité budú aj prípadné ďalšie technické detaily od výrobcu, upozornenia bezpečnostných autorít k novým indikátorom a nezávislé potvrdenie rozsahu kampane.

Overené a aktualizované: 10. 09. 2026 15:30