Agenti IA armano PaperCut: exploit di massa a velocità macchina

Daniel Reyes Principal Engineer (IA/ML), YuSMP Group · Sistemi agentici e sicurezza del tooling IA per i team di Stati Uniti e UE

La risposta breve

Cosa è successo con PaperCut

PaperCut NG/MF è un software di gestione della stampa che gira su decine di migliaia di reti — scuole, ospedali, catene commerciali, pubblica amministrazione — di solito come un discreto server interno a cui nessuno pensa. Il 27 agosto 2026 vi sono state divulgate due vulnerabilità come zero-day: CVE-2026-81578, un bypass dell'autenticazione, e CVE-2026-82078, un'esecuzione di codice da remoto. Concatenate, permettono a un attaccante non autenticato di prendere il controllo totale del server. PaperCut ha rilasciato una patch d'emergenza il giorno dopo, il 28 agosto.

Ciò che rende notevole questo incidente non sono i bug, ma chi li ha sfruttati e con quale velocità. I team di threat intelligence di Blackpoint Cyber, GreyNoise e Arctic Wolf hanno riferito a inizio settembre che un singolo operatore di lingua russa aveva trasformato le falle appena divulgate in una campagna globale di sfruttamento di massa, compromettendo oltre 440 deployment PaperCut appartenenti a 395 organizzazioni in 48 paesi, tra cui Stati Uniti, Regno Unito, Francia, Spagna, Germania, Canada, Belgio, Portogallo, Australia e Svizzera. Il settore dell'istruzione ha subito il colpo più duro, con 204 vittime, seguito da commercio e servizi professionali, immobiliare e ospitalità, fornitori IT e di servizi gestiti, no-profit, biblioteche e manifattura e utility.

L'operatore non l'ha fatto a mano. Secondo i ricercatori, ha orchestrato centinaia di agenti IA — costruiti attorno al harness Codex di OpenAI e a un modello DeepSeek, collegati a strumenti offensivi pronti all'uso come Mimikatz, SharpHound, Certipy, Rubeus e Impacket — per gestire in parallelo ricerca, sfruttamento e lavoro post-compromissione. È proprio questo strato di orchestrazione agentica il punto in cui l'ingegneria di agenti IA su misura smette di essere una storia di produttività e diventa un modello di minaccia: gli stessi schemi che i team usano per automatizzare workflow legittimi sono stati puntati contro infrastrutture vulnerabili.

Come gli agenti IA hanno condotto la campagna

Togliete la patina di marketing attorno agli «attacchi potenziati dall'IA» e la meccanica è concreta. L'operatore ha usato agenti basati su grandi modelli linguistici per comprimere l'intero ciclo di vita dello sfruttamento: leggere l'advisory, capire il percorso di codice vulnerabile, scrivere e affinare un proof of concept, impacchettarlo in uno strumento di validazione multi-thread, scansionare Internet alla ricerca di istanze esposte e poi eseguire il playbook di sfruttamento-e-pivot contro tutto ciò che trovava. Ognuno di questi passaggi era prima un collo di bottiglia umano; gli agenti l'hanno rimosso eseguendoli in parallelo e 24 ore su 24.

La cronologia ricostruita dai ricercatori è la parte da memorizzare. La ricerca sulle vulnerabilità sarebbe iniziata intorno al 31 agosto 2026 ed è stata trasformata in uno strumento di validazione multi-thread funzionante nel giro di ore, con la prima compromissione di vittime reali in meno di quattro ore. Una volta lanciata sul serio la campagna, 11 organizzazioni sono state compromesse entro 26 secondi. In una scuola superiore l'attaccante è passato dal primo accesso ad amministratore di dominio in sette minuti. Nell'intera campagna sono state raccolte credenziali da circa 280 host, esfiltrati segreti da 137 e raggiunto il pieno controllo di domain admin in 12 organizzazioni — un promemoria che un «server di stampa» era solo il punto d'ingresso, non l'obiettivo.

Vale la pena essere precisi su cosa l'IA ha fatto e cosa no. Non ha scoperto una vulnerabilità sconosciuta né aggirato una patch; le falle erano pubbliche e un fix esisteva entro 24 ore. Ciò che gli agenti hanno fornito è stato throughput e velocità: la capacità di trasformare un advisory pubblico in un'arma distribuita in massa e di sfruttare il ritardo tra «patch disponibile» e «patch applicata» su migliaia di organizzazioni contemporaneamente. L'operatore ha persino applicato una lista di esclusione di circa 28 paesi — tra cui Russia, Cina, Iran e Venezuela —, il tipo di logica di targeting che il tooling agentico rende banale da imporre su larga scala.

Cosa significa per i team software in Italia

Primo, la finestra di patching ora si misura in ore. Il vecchio modello mentale — arriva un CVE critico, lo si valuta questa settimana, lo si corregge alla prossima finestra di manutenzione — presupponeva un avversario umano che pure aveva bisogno di giorni per costruire un exploit affidabile. Quel presupposto è morto. Quando un advisory fresco può essere armato e distribuito in massa in una mattinata, la vostra esposizione è definita da quanto velocemente trovate e correggete l'asset interessato, non da quanto grave appaia il CVE sulla carta. L'inventario rapido degli asset e la disciplina dei change d'emergenza sono oggi controlli di sicurezza di prima linea, non igiene IT.

Secondo, i vostri noiosi strumenti interni sono il bersaglio. Nessuno fa threat modeling del server di stampa, del wiki, del gestore di licenze o del runner CI self-hosted — eppure sono esattamente i sistemi che siedono su reti fidate, girano con ampi privilegi e vengono corretti di rado con la stessa cadenza delle app rivolte ai clienti. PaperCut è stato un punto d'appoggio che ha portato a domain admin in una dozzina di organizzazioni. Trattate il software amministrativo e infrastrutturale come superficie d'attacco critica di produzione, tenetelo fuori dalle reti non fidate e includetelo nel perimetro quando testate.

Terzo, i difensori devono adottare lo stesso tooling. Se gli attaccanti usano agenti per validare exploit sull'intera vostra impronta esterna in poche ore, i penetration test annuali puntuali e il triage manuale delle patch non riescono a stare al passo. La risposta realistica è l'automazione anche sul lato difensivo: scoperta continua dell'esposizione, test realistici che presuppongono uno sfruttamento a velocità macchina e triage assistito dall'IA che stabilisce le priorità di patching. Per i team in Italia, questo acuisce anche le aspettative normative — NIS2 (recepita con il D.Lgs. 138/2024) e, per i soggetti finanziari, DORA presuppongono entrambe rilevamento, patching e risposta agli incidenti rapidi, e «non siamo riusciti a correggere in tempo» non è una difesa che un'autorità accetterà quando la cronologia dello sfruttamento è pubblica.

Cosa fare ora

1. Correggere PaperCut NG/MF immediatamente. Se lo usate, passate a una versione che risolve CVE-2026-81578 e CVE-2026-82078 senza aspettare una finestra di manutenzione — e verificate che il server non sia raggiungibile da reti non fidate.
2. Presumere la compromissione delle istanze esposte. Qualsiasi PaperCut raggiungibile da Internet rimasto senza patch tra il 27 agosto e il vostro aggiornamento va considerato violato: cercate il furto di credenziali, nuovi account ed escalation a domain admin, non solo la patch mancante.
3. Ridurre ovunque la finestra di patching. Costruite la capacità di inventariare gli asset interessati e distribuire patch d'emergenza in poche ore. Misurate il vostro tempo medio reale di patching per un CVE critico e abbassatelo — quel numero è ora la vostra esposizione al rischio.
4. Togliere gli strumenti di infrastruttura dalle reti fidate per default. Server di stampa, gestori di licenze, wiki, CI self-hosted e pannelli di amministrazione vanno segmentati, dietro una VPN o un proxy zero-trust, e a privilegio minimo — non in rete piatta perché «sono interni».
5. Testare come oggi attaccano gli attaccanti. Aggiungete i sistemi amministrativi e infrastrutturali al perimetro ed eseguite penetration test realistici e guidati dall'automazione, che modellano uno sfruttamento a velocità macchina, non una tranquilla settimana di sondaggi manuali.

Domande frequenti

Fonti

The Hacker News — PaperCut Attacker Uses Hundreds of AI Agents to Compromise 440+ Instances
SecurityWeek — PaperCut Flaws Exploited in AI-Powered Attacks